セキュリティ実装技術

要点と定義

セキュリティ実装技術は、通信、認証、データベース、アプリケーションなどに対策を組み込み、脅威を抑える技術です。選ぶときは「何を守るか」「どの区間・処理に効くか」を対応させます。シラバスでは、セキュアプロトコル、認証・認可、ネットワーク、データベース、アプリケーションの各対策を扱います。

共通鍵暗号方式は、暗号化と復号に同じ鍵を使います。相手ごとに秘密の通信をする場合、通信相手が増えるほど鍵の共有・管理が煩雑になります。過去の出題で扱った補足として、AESは共通鍵暗号、RSAは公開鍵暗号の例です。公開鍵暗号で秘匿する場合は、受信者の公開鍵で暗号化し、対応する秘密鍵で復号します。署名では署名者が秘密鍵を使い、公開鍵で検証します。署名は文書を単に暗号化することとは異なります。

証明書を使う通信では、認証局の公開鍵でサーバ証明書の署名を検証できます。この公開鍵は、通信データを暗号化したり、通信鍵を復号したりするためのものではありません。TLSが保護するのは、そのTLS接続の両端の間です。クライアント証明書を検証する構成では、サーバ側がクライアントの証明書を検証し、利用者側の認証に使えます。実際の効果は、証明書の有効性や利用者との対応付けが適切に検証されることが前提です。

セキュアプロトコルは通信の用途と対象を見て区別します。SSHはリモートログインやリモートファイルコピーを保護します。WPA2-PSKではアクセスポイントと端末に同じSSIDと事前共有鍵を設定します。SSIDはネットワーク名で、暗号鍵そのものではありません。

ネットワークやアプリケーションの対策も、作用する場所が異なります。WAFはWebアプリケーション向けの通信を検査し、攻撃を検出・遮断する仕組みです。クロスサイトスクリプティング（XSS）では、入力値がWebページに出力されたときにブラウザでタグやスクリプトとして解釈されることが問題になります。出力先の文脈に応じてエスケープし、意図しないコードとして解釈されないようにします。WAF、OSへのログイン監視、マルウェア検出は、それぞれ対象が異なります。

適用条件と例

通信の保護範囲は、接続の端点で判断します。たとえば、利用者のPCから公開WebサーバまでTLSを使っても、その接続だけでWebサーバから内部DBサーバまでの通信が保護されるとは限りません。区間ごとに必要な保護を確認します。

自作例として、共有の無線LAN用パスワードを複数人で使っていて、利用者が一人入れ替わったとします。WPA2-PSKの事前共有鍵を複数端末で共有している構成では、誰に鍵を設定したかを踏まえて鍵の管理方法を考える必要があります。接続時にはSSIDと事前共有鍵の両方が設定されていることを確認します。