通信保護・認証と証明書状態の確認

要点と定義

IPsecは、IP通信をネットワーク層で保護する仕組みである。ESPでは選択した機能に応じて通信内容の機密性を確保できる。 チャレンジレスポンス認証は、認証のたびにサーバが提示する値と秘密情報を用いて応答を計算し、その応答で認証する方式である。パスワードそのものを応答として送らない。 WPA2-PSKは、事前共有鍵（PSK）を使って端末の認証や通信鍵の導出を行う無線LANの方式である。SSIDは無線LANのネットワーク名である。 エクスプロイトキットは、OSやアプリケーションの脆弱性を悪用する攻撃コードなどをまとめたツール群である。 虹彩認証は、虹彩の特徴を用いて本人を識別する生体認証である。他人受入率は、他人を本人と誤って受け入れる割合を指し、その値は評価条件などに左右される。 CRL（証明書失効リスト）は、失効したディジタル証明書を識別する情報を掲載するリストである。OCSPは、対象証明書の状態をレスポンダに問い合わせる方式であり、要求では証明書識別情報を用いる。

適用条件と例

IPsecはネットワーク層でIP通信を保護する。ESPを使う場合、設定に応じて通信内容の暗号化を行える。例えばIPv6通信の保護にも利用できるが、実際に保護される通信は適用範囲や設定による。 チャレンジレスポンス認証では、サーバが送るランダムな値（チャレンジ）と秘密情報を用いてクライアントが応答（レスポンス）を計算する。WPA2-PSKでは、アクセスポイントと端末が共有するPSKを使って認証や鍵の導出を行い、SSIDは接続先ネットワークの識別に使う。 脆弱性を悪用する攻撃ツール群は、脆弱性検査やログ監視の機能とは区別する。虹彩認証の他人受入率を比較するときは、評価条件や判定閾値などをそろえて考える。

IPv6拡張ヘッダのESPを使うIPsecでは、設定に応じて通信内容を暗号化し、機密性を確保できる。ESPの使用が常に暗号化を意味するわけではなく、URLフィルタリングやマルウェア検知などの機能とも異なる。

チャレンジレスポンス認証では、サーバが提示するランダムな値と秘密情報を用いてクライアントが応答を計算する。固定パスワードを暗号化して送る方式や、認証のたびに別のパスワードを表示する方式とは仕組みが異なる。

WPA2-PSKでは、端末とアクセスポイントが共有するPSKを用いて認証や通信鍵の導出を行う。SSIDは接続先ネットワークの識別子であり、暗号鍵そのものではない。

エクスプロイトキットは、OSやアプリケーションの脆弱性を悪用する攻撃コードなどをまとめたツール群である。脆弱性検査、導入製品の脆弱性情報確認、アクセスログ監視とは役割が異なる。