セキュリティ実装技術

要点と定義

セキュリティ実装技術は、通信、利用者認証、ネットワーク、アプリケーションなどに対策を組み込み、脅威を抑える技術です。監査では、対策の名称だけでなく、何を守り、どの条件で働くかを確認します。

IPsecのESPは、設定に応じて通信内容を暗号化し、機密性を確保できます。AHは完全性や送信元認証に関わりますが、暗号化はしません。IPv6の拡張ヘッダに関連する機能を問われたときは、この違いが判断に必要です。これは過去の出題で扱った補足です。

認証では、利用者が知っている情報、所持するデバイス、本人の身体的特徴などを使います。チャレンジレスポンス方式では、サーバが送るランダムな値と秘密情報から応答を計算し、秘密情報そのものは送信しません。虹彩認証は虹彩の特徴を使い、成人では模様が長期に安定しているため、登録パターンの更新がほとんど不要とされます。いずれも過去の出題で扱った補足です。

暗号方式の選択では、共通鍵暗号は共有した同じ鍵で暗号化と復号を行い、公開鍵暗号は公開鍵と秘密鍵の組を使います。ハイブリッド暗号方式は、データの暗号化に処理効率のよい共通鍵暗号を使い、その共通鍵の配送に公開鍵暗号を使います。AESは共通鍵暗号の例です。方式の分類と役割の組合せは過去の出題で扱った補足です。

セキュリティ対策は、検出対象や通信の層によっても区別します。ビヘイビア法は、感染後に現れる不審な動作や通信量の変化を手掛かりにします。DNSSECはDNSのリソースレコードに対する署名を検証し、データの完全性や署名の正当性を確認します。WAFはWebアプリケーションとの通信を検査し、不正な操作を検知・遮断します。これらの機能の区別は過去の出題で扱った補足です。

適用条件と例

例えば、遠隔地へ機密データを送る設計では、通信経路の保護にESPを使う構成が候補になります。ただし、機密性を確保できるかはESPの設定に依存します。認証を追加する場合は、毎回異なるチャレンジから応答を計算する方式なら、固定パスワードそのものを送らずに本人確認を行えます。

メールの添付データを暗号化して送る場面では、データ本体を共通鍵で暗号化し、その鍵を公開鍵暗号で相手に渡すハイブリッド方式が使えます。大量のデータ処理を共通鍵側に担わせ、鍵配送を公開鍵側に担わせる分担です。