セキュリティ実装技術

要点と定義

セキュリティ実装技術は、通信、OS、ネットワーク、データベース、アプリケーションなどに対策を実装し、脅威を抑える技術である。この節では、過去問で確認できる無線LANの保護、WAFの配置、耐タンパ性、楕円曲線暗号、TLSによる利用者認証、XSS対策を扱う。

WPA2-PSKは、アクセスポイントと端末が共通の事前共有鍵（PSK）を使う無線LANの方式である。WPA2のCCMPではAESを用いる。

WAFはWebアプリケーションへの通信を検査する仕組みである。耐タンパ性は、装置の物理的な解析や改ざんを困難にする性質である。楕円曲線暗号は公開鍵暗号方式であり、TLSでは鍵交換やディジタル署名に利用される。

TLSで利用者個人の証明書を用いると、通信の暗号化に加えて、その証明書による利用者認証ができる。クロスサイトスクリプティング（XSS）は、Webページに埋め込まれたスクリプトが閲覧者のブラウザーで実行される攻撃である。

適用条件と例

WPA2-PSKでは、アクセスポイントと端末に共通の事前共有鍵を設定する。WPA2のCCMPはAESを用い、鍵長は128ビットである。

WAFが暗号化・復号を行わない構成では、HTTPSを復号した後、Webサーバへ届く前のHTTP区間に置くと通信内容を検査できる。

耐タンパ性を高めるには、物理解析を試みたときに内部回路が破壊されるようにする方法がある。楕円曲線暗号は公開鍵暗号方式で、TLSの鍵交換やディジタル署名に使われる。利用者個人の証明書を用いるTLSでは、PCとWebサーバ間の通信を暗号化し、クライアント証明書で利用者を認証できる。

XSS対策では、入力データの出力先や文脈を踏まえて処理し、HTMLとして出力する場合は特殊文字を適切にエスケープして、意図しないタグやスクリプトとして解釈されないようにする。

WPA2-PSKでは、アクセスポイントと接続端末に同じ事前共有鍵（PSK）を設定し、それを用いて認証と通信の保護を行う。SSIDはネットワーク名であり、共通鍵として通信を暗号化するものではない。

復号機能を持たないWAFは、HTTPSの暗号化区間では通信内容を読めない。SSLアクセラレータなどでHTTPSを復号した後、Webサーバに届く前のHTTP区間なら内容を検査できる。

耐タンパ性は、装置の物理解析や改ざんを困難にする性質である。解析時に内部回路が破壊される仕組みは、回路内部の情報を取得しにくくする対策となる。