IPA セキュアプロトコル・無線LAN・接続認証 — 頻出論点と過去問

頻出論点

1. この分野は何か

通信経路上の盗聴・改ざん・なりすましを防ぐ暗号化プロトコル（TLS、IPsec、SSHなど）と、無線LANや有線LANへの不正接続を遮断するネットワーク接続認証を扱います。無線区間とエンドツーエンドの保護範囲の違いや、アクセスポイント・社内網の入口における端末・利用者認証の仕組みを切り分けられるようになります。

2. 実際の出題のされ方

無線区間の暗号化とWeb通信の暗号化が守る範囲の違いや、アクセスポイントへの接続制限の基本は、ITパスポートで問われます。WPA2の役割（無線区間の通信暗号化）、事前共有鍵（PSK）を用いた接続認証や端末ごとの暗号鍵生成、MACアドレスフィルタリングによる接続制限、さらに無線LAN経由でWebサーバへアクセスする際のWPA2とSSL/TLSの保護範囲の違いが出題されています。

各プロトコルが動作する階層やクライアント認証の手順、社内LAN・公衆無線LANでの対策は、応用情報技術者や高度試験の午前Iで出題されます。TLS・IPsec・L2TPが動作するOSI基本参照モデルの階層比較、IPsecの構成要素（認証ヘッダAHと暗号ペイロードESP）やIPv6拡張ヘッダによる暗号化通信、TLSクライアント認証における処理順序（サーバ証明書の送付→クライアント証明書の送付→クライアントの認証）、フリーアドレス環境での認証VLAN、公衆無線LANにおける端末間通信の遮断が出題されています。

暗号スイートやパケットの暗号化範囲、接続認証プロトコルの内部仕様は、高度試験の午前IIで問われます。TLS 1.3の暗号スイート構成（認証付き暗号アルゴリズムとハッシュアルゴリズムの組）やICカードに格納したクライアント証明書の運用、UDPのペイロードを暗号化するDTLS、IPsecのESPトンネルモードで元のIPヘッダからESPトレーラまでが暗号化される構造が出題されています。また、IEEE 802.1Xの3要素（サプリカント・オーセンティケータ・認証サーバ）とEAP-TLSによる相互認証、RADIUS・DiameterのAAAフレームワーク（認証・認可・アカウンティング）、WPA3-Enterpriseやパスワード入力なしで無線通信を暗号化するEnhanced Open（OWE）も問われています。

3. 学習のポイント

無線LANの暗号化規格（WPA2・WPA3・Enhanced Open）が保護するのは端末とアクセスポイント間の無線区間のみであり、ブラウザからWebサーバまでの経路全体を保護するにはTLSが必要です。また、VPNなどで使われるプロトコルは、データリンク層のL2TP、ネットワーク層のIPsec、トランスポート層以上で動作するTLSという階層の対応関係と、IPsecのESPトンネルモードにおいて元のIPヘッダごとカプセル化して暗号化する構造を図で押さえておきます。

次に、IEEE 802.1Xによる接続認証の構成を理解することが重要です。クライアント側のサプリカント、アクセスポイントやスイッチに実装されるオーセンティケータ（RADIUSクライアントとして動作）、そしてRADIUSサーバの役割分担に加え、デジタル証明書を用いてサーバとクライアントの相互認証を行うEAP-TLSの特徴を区別できるようにしておきます。

4. 間違えやすいところ

混同しやすいのは、無線区間の暗号化と、ブラウザからWebサーバまでの暗号化の取り違えです。WPA2を使っていればSSL/TLSが無くても通信全体が暗号化されるとする誤答肢がありますが、アクセスポイントから先の経路はWPA2では保護されません。

また、プロトコルの詳細仕様や順序を入れ替えた誤答肢もあります。TLS 1.3で廃止されたCBCモード（AES-CBCなど）が必須として継続利用されるとする記述、TLSのクライアント認証でサーバ証明書より先にクライアント証明書を送るとする順序の逆転、IPsecの鍵交換（IKE）がUDPの500番ではなく80番ポートを使うとする記述、EAP-TLS以外の方式（EAP-MD5やEAP-TTLSなど）をクライアント証明書必須の方式とみなす選択肢などが出ています。さらに、公衆無線LAN対策としてMACアドレスフィルタリングで偽装攻撃を防げるとしたり、SSIDを暗号化するとしたりする誤った対策を選ばないよう、各技術の限界と正確な動作を見極めましょう。