セキュリティ実装技術

要点と定義

セキュリティ実装技術では、通信、認証、ネットワーク、データベース、アプリケーションを守る仕組みの種類と効果を理解し、対象に応じて使い分けます。IPAシラバスの「セキュリティ実装技術」には、セキュアプロトコル、認証・認可、ネットワークセキュリティ、データベースセキュリティ、アプリケーションセキュリティなどが含まれます。

IPsecのESPは、設定に応じて暗号化による機密性を提供できます。AHは完全性や送信元認証などに関わりますが、暗号化はしません。IPsecを使えば常に暗号化される、またはIPv6で暗号化が必須になる、という意味ではありません。過去の出題で扱った補足として、この区別は拡張ヘッダとセキュリティ機能を結び付けて判断する際に役立ちます。

チャレンジレスポンス認証では、サーバが送るランダム値と秘密情報から応答を計算し、その応答を送信します。パスワード自体は送信しません。過去の出題で扱った補足として、判断の手掛かりは、サーバのランダム値を使って応答を作る点です。

成人の虹彩模様は一般に長期安定し、登録パターンの更新がほとんど不要です。「経年変化がない」という表現は、変化が絶対に起こらないという意味ではありません。過去の出題で扱った補足として、認証デバイスの特徴を説明するときは、安定性を絶対視しないことがポイントです。

共通鍵暗号は、暗号化と復号に同じ秘密鍵を使います。AESはその例です。過去の出題で扱った補足として、方式を区別する判断では、同一の秘密鍵を両方の処理に使うかを確認します。

ハイブリッド暗号では、共通鍵でデータを暗号化し、公開鍵暗号でその共通鍵を配送します。過去の出題で扱った補足として、データ本体の暗号化と共通鍵の配送が別の方式で担われる点が判断の中心です。

適用条件と例

DNSのゾーン転送は、ゾーン情報を別のDNSサーバへ渡す仕組みです。許可する転送先を限定すると、許可されていないサーバによるゾーン情報の一括取得を抑えられます。これはゾーン情報の取得制御であり、DNS全体のアクセス制御を意味しません。過去の出題で扱った補足として、制御対象がゾーン転送かどうかを見分けます。

WAFはWebアプリケーション向けの通信を検査・制御し、不正な操作を遮断する仕組みです。攻撃に特徴的なパターンの検知は代表例ですが、すべての攻撃を検出できるとは限りません。過去の出題で扱った補足として、Webアプリケーションとの通信を扱う機能かどうかが手掛かりになります。

ドライブバイダウンロード攻撃は、Webサイトの閲覧をきっかけに端末へ不正プログラムをダウンロードさせる攻撃です。利用者が操作や感染に気付くかどうかは、定義の条件ではありません。過去の出題で扱った補足として、閲覧を契機にした不正プログラムの転送に注目します。