セキュリティ実装技術

要点と定義

ネットワークや認証の仕組みは、どの層で何を守るかを分けて捉えます。シラバスでは、通信を保護するセキュアプロトコル、認証・認可、ネットワークへの不正アクセス対策などを扱います。

NAPTは、内部端末のIPアドレスとポート番号を外部向けに変換し、対応表を使って応答を元の端末へ戻す仕組みです。対応表にない外部からの新規通信は通常内部端末へ転送されないため、外部から内部PCへの不正アクセスを困難にする効果があります。これは通信の変換による効果であり、脆弱性の検知や通信内容の識別ではありません。

チャレンジレスポンス認証では、サーバが認証ごとに異なるランダム値を送り、クライアントが秘密情報などを使って応答を計算します。過去の応答をそのまま再利用しにくくする仕組みです。固定パスワードを暗号化通信路で送ることや、サーバのチャレンジを使わないワンタイムパスワードとは、手順を区別します。過去の出題で扱った補足です。

虹彩認証は目の虹彩の特徴を用いる生体認証です。過去の出題で扱った補足として、顔認証と比べて他人受入率を低くできる場合があるとされています。「可能な場合がある」という比較であり、あらゆる条件で必ず優れるという意味ではありません。

セキュアプロトコルは保護する通信の範囲や層で見分けます。過去の出題で扱った補足として、IPsecはIP層で通信を保護する方式です。IPv6を含むIP通信をネットワーク層で保護する仕組みを選ぶ場面では、この層の対応が判断の鍵になります。

ディジタル署名を検証すると、署名対象のデータが署名後に改変されていないことと、署名が対応する署名生成鍵で作られたことを確認できます。過去の出題で扱った補足です。署名検証だけで、改変箇所の特定やマルウェア感染の有無までは分かりません。

暗号方式では鍵の使い方を区別します。共通鍵暗号方式は暗号化と復号に同じ鍵を使います。公開鍵暗号方式で通信内容を秘匿する場合は、受信者の公開鍵で暗号化し、対応する秘密鍵で復号します。署名では署名生成に秘密鍵、検証に公開鍵を使います。これらの鍵の役割は過去の出題で扱った補足です。

コードサイニング証明書は、ソフトウェアに付けられた署名を検証し、発行元や署名後の改変の有無を確認する際に使われます。証明書の種類は、確認したい対象がソフトウェアか、サーバか、利用者・端末かで整理します。過去の出題で扱った補足です。

適用条件と例

NAPTの対応表があるのは、通常、内部側から開始した通信への応答を戻すためです。たとえば社内PCが外部サイトへ接続すれば、その応答は対応表を使ってPCに戻せます。一方、ポート転送などで外部からの接続先を設定した場合は、その通信が内部へ届くことがあります。NAPT単独で不正アクセスを完全に防ぐとはいえません。