IPsecとVPNによる通信の暗号化

IPsec（Security Architecture for Internet Protocol）は、IPパケットをネットワーク層で保護する一連のプロトコルであり、送信元の認証、データの完全性、機密性（暗号化）を提供する。VPNは公衆網の上に仮想的な専用網を構築する技術で、IPsecはその代表的な実現手段である。試験では、どの層で何を保護するのか、認証と暗号化のどちらを担うのかを区別できるかが問われる。

IPsecの構成要素と仕組み

IPsecは、OSI基本参照モデルのネットワーク層でIPパケットを保護する。上位のアプリケーションが何を送っていても、IPを使う通信であれば保護の対象にできるため、IPv6の通信をネットワーク層で暗号化する手段として使われる。

構成要素は主に二つである。認証ヘッダ（AH）は送信元の認証とデータの完全性を提供するが、内容を暗号化しない。一方、カプセル化セキュリティペイロード（ESP）は暗号化による機密性を担う。AHとESPは、IPパケットにヘッダを付けて保護する点では共通するものの、守る内容が異なる。

暗号鍵や認証方式などの取り決めは、保護の本体であるAHやESPとは別に行われる。この取り決めを担う仕組みを鍵交換のプロトコル（IKE）と呼び、通信相手ごとに保護の条件（SA）を確立する。

利用の形には、通信する両端のホストが保護を施すトランスポートモードと、ルータなどのゲートウェイ間で元のIPパケット全体を包んで運ぶトンネルモードがある。VPNでは後者が多く用いられる。

判断の基準: どの層で、何を守るか

判断の基準は三つに整理できる。第一に、守る対象がIPパケットなのか、アプリケーションの中身なのかである。IPパケットを丸ごと保護するならIPsec、アプリケーションのデータを保護するならTLSが候補になる。TLSはトランスポート層とアプリケーション層の間で暗号化を行う。

第二に、暗号化が必要か、認証と完全性だけで足りるかである。機密性が要求されるならESPを選び、送信元の認証と改ざんの検出だけでよいならAHの役割で足りる。