セキュリティ実装技術

要点と定義

セキュリティ実装技術は、通信やデータ、認証の仕組みを使い分け、脅威を抑える技術です。技術ごとに守る対象と働く範囲が異なるため、「何を防ぎ、どこで処理するか」を手掛かりにします。

IPsecはIP層で通信を保護する方式で、IPv6通信にも利用できます。TLSはアプリケーション間の通信を保護します。どちらも通信を守る技術ですが、働く層は異なります。この違いを問う問題では、ネットワーク層での保護にIPsecを結び付ける必要があります。

共通鍵暗号方式は、暗号化と復号に同じ鍵を使います。公開鍵暗号方式で通信内容を秘匿するときは、公開鍵で暗号化し、対応する秘密鍵で復号します。ディジタル署名では、署名生成に秘密鍵、検証に公開鍵を使います。方式名だけでなく、目的に応じた鍵の役割を押さえることが判断に必要です。

ディジタル署名を公開鍵で検証できれば、署名対象の文書が署名後に変更されていないことと、対応する秘密鍵で署名が作られたことを確認できます。検証だけでは、変更箇所の特定や、文書がマルウェアに感染していないことまでは分かりません。この確認範囲が選択肢を判断する基準になります。

ディジタル証明書は公開鍵などの情報を含み、認証局の署名によってその情報を検証できるようにします。認証局が署名するのは申請者の秘密鍵ではなく証明書です。TLSでは証明書が通信相手の認証に使われ、方式に応じて通信データの暗号化に使う鍵の確立にも関わります。証明書の役割と署名対象を区別すると、正しい説明を判断できます。

チャレンジレスポンス認証では、サーバが認証ごとにランダムな値を送り、クライアントが秘密情報などを使って応答を計算します。固定パスワードを暗号化して送るだけの方式とは異なり、サーバからの値に応じた応答が判断の要点です。

虹彩認証は虹彩の特徴を利用する生体認証です。過去の出題で扱った補足として、顔認証と比べて他人受入率を低くできる場合があるとされています。これは常に同じ精度になるという意味ではなく、認証方式の特徴を比較する際に必要な知識です。

適用条件と例

NAPTは、内部端末のIPアドレスとポート番号を外部向けの情報に対応付けて通信を変換します。内部から開始した通信への応答は、その対応付けをたどって端末へ戻せます。対応付けのない外部からの新規通信は通常内部端末へ転送されないため、内部PCへの不正アクセスを困難にする効果があります。ただし、ポート転送などを設定すれば外部から接続できる場合があり、NAPTだけで不正アクセスを完全に防げるわけではありません。この働きと限界を理解することが、NAPTのセキュリティ効果の判断に必要です。

例えば、複数の社内端末が同じ外部向けアドレスからサービスを利用するとき、NAPTは送信元ポートも含めて通信を対応付けます。応答が戻ると、対応付けを使って適切な端末へ振り分けます。これはIPアドレスの変換だけでなく、ポート番号も使って通信を区別する例です。