通信とアプリケーションのセキュリティ対策

要点と定義

セキュリティ対策は、何を守り、どの脅威に効くかを対応させて理解します。シラバスの現行項目は「セキュリティ実装技術」のうち、セキュアプロトコル、認証・認可技術、ネットワークセキュリティ、アプリケーションセキュリティです。参照ページは指定資料の60、62ページです。以下では、攻撃名や個別製品の機能など、現行細目に明記されていない内容は「過去問補足」と区別します。

過去問補足として、ドライブバイダウンロードは、Webサイトの閲覧をきっかけに、利用者が気付かないうちに不正プログラムを端末へ送り込む攻撃です。閲覧が感染のきっかけになる点が見分ける鍵です。これはアプリケーションセキュリティに関係しますが、攻撃名は現行細目に明記されていません。

暗号方式の過去問補足では、共通鍵暗号は暗号化と復号に同じ鍵を使い、通信相手と鍵を共有・管理します。相手が増えると管理する鍵も増えます。公開鍵暗号で通信内容を秘匿する場合は、受信者の公開鍵で暗号化し、受信者の秘密鍵で復号します。電子署名では、署名者が秘密鍵で署名を作成し、対応する公開鍵で検証します。署名は単なる暗号化とは異なる目的の処理です。これらの詳細な鍵操作は、提示された現行細目に明記されていません。

過去問補足として、認証局の公開鍵は、サーバ証明書の署名を検証するために使います。これは通信データを復号する処理とは別です。現行細目にはSSL/TLSが含まれますが、この検証手順の詳細は明記されていません。

WPA2は現行細目のセキュアプロトコルの用語例です。過去問補足として、WPA2-PSKではアクセスポイントと端末に同じネットワーク名と事前共有鍵を設定します。ネットワーク名そのものが暗号鍵なのではありません。

現行細目は、アプリケーションソフトウェアへの攻撃を抑制する対策を扱い、例としてWebシステムのセキュリティ対策を挙げています。過去問補足として、WAFはWebアプリケーションを狙う通信を検査し、攻撃を検出・遮断する仕組みです。WAFという用語とこの機能の詳細は、現行細目の用語例には明記されていません。

過去問補足として、ブルートフォース攻撃は、あり得る文字の組合せなど多数の候補を試して、パスワードを割り出そうとする攻撃です。現行細目にはパスワードクラック対策がありますが、この攻撃名や定義は明記されていません。

SSL/TLSは現行細目のセキュアプロトコルです。過去問補足として、利用者証明書を用いるTLSでは、クライアント証明書の検証によって利用者側を認証でき、接続したPCとWebサーバ間の通信を保護できます。保護や認証の範囲はその接続の両端です。Webサーバから別途DBサーバへ行う通信まで、このTLS接続が保護するわけではありません。クライアント証明書の詳細と通信経路の限定は、現行細目に明記されていません。

適用条件と例

対策を選ぶときは、対象の通信経路と攻撃対象を先に特定します。例えば、利用者端末と公開Webサーバの接続にTLSを設定しても、Webサーバと内部DBサーバの別接続は別途確認が必要です。同じシステム内にあることだけでは、保護範囲は広がりません。