通信の暗号化とVPN

通信の暗号化とVPNは、通信内容を第三者に読み取られないようにデータを暗号化して送受信する仕組みと、その仕組みを使って離れた拠点や端末を仮想的な専用線のように結ぶ技術の総称である。どの層で暗号化を行うかによって、保護できる範囲や運用の形が変わる。試験では、代表的なプロトコルがOSI基本参照モデルのどの層で動作するかを理解しているかが問われやすい。

階層ごとの保護の仕組み

OSI基本参照モデルでは、通信は物理層からアプリケーション層までの階層に分けて処理される。暗号化の方式は、どの層でデータを保護するかによって保護対象が決まる。TLSはトランスポート層とアプリケーション層の間で動作し、Webや電子メールなどアプリケーションの通信を保護する。

IPsecはネットワーク層でIPパケットを保護する仕組みであり、そのパケットを使う上位の通信をまとめて保護できる。一方、L2TPはデータリンク層に相当する手順でトンネルを作る方式であり、単独では暗号化の仕組みを持たないため、IPsecと組み合わせて用いられる。上位から順にTLS、IPsec、L2TPの並びになるという関係を押さえておくとよい。

IPsecの仕組みと拡張ヘッダ

IPsecは、IPパケットに対して認証と暗号化を行うための仕組みである。認証ヘッダ（AH）は送信元の認証とデータの完全性を確認する役割を持つ。暗号ペイロード（ESP）は暗号化によって機密性を確保する役割を持つ。

AHは暗号化を行わないため、内容を秘匿する必要がある場合はESPが使われる。IPv6では、ESPを拡張ヘッダとして組み込むことで、設定に応じてパケットの機密性を確保できる。 IPv6を使うPCからサーバへの通信で、ネットワーク層の暗号化を行う方式としてIPsecが用いられるのも、この仕組みによる。