情報処理技術者試験の午前試験過去問題より、VPN と IPsec に関する出題をいくつかみてみます。試験問題の全文については、情報処理技術者試験センターのWebサイト http://www.jitec.jp/ にて公開されています。

 

平成１７年度テクニカルエンジニア（ネットワーク）試験の午前試験の問４０。

問４０　インターネット VPN を実現するために用いられる技術であり、ESP（Encapsulating Security Payload）や AH（Authentication Header）などのプロトコルを含むものはどれか。

ア　IPsec

イ　MPLS

ウ　PPP

エ　SSL

答えは、ア。

ESP（Encapsulating Security Payload）は、IP パケットの暗号化と認証の機能を、AH（Authentication Header）は、IP パケットの認証機能を提供します。

IPsec には２つの通信モードがあります。トランスポートモードは、送信ホストから受信ホストまでの全通信区間で IPsec による暗号化が行われます。トンネルモードは、経路途中のゲートウェイ間で IPsec による暗号化が行われます。

 

平成１８年度テクニカルエンジニア（情報セキュリティ）試験の午前試験の問２３。

問２３　IPsec に関する記述のうち、適切なものはどれか。

ア　IKE は IPsec の鍵交換のためのプロトコルであり、ポート番号８０が使用される。

イ　鍵交換プロトコルとして、HMAC-MD5 が使用される。

ウ　トンネルモードで暗号化を使用すると、元のヘッダまで含めて暗号化される。

エ　ホストＡとホストＢとの間で IPsecによる通信を行う場合、認証や暗号化アルゴリズムを両者で決めるために ESP ヘッダではなく AH ヘッダを使用する。

答えは、ウ。

トンネルモードで暗号化される情報については、次の問題も参照してみてください。

肢アに関連して、IKE（Internet Key Exchange）は、SA（Security Association：通信を開始する際に保持・適用する暗号化アルゴリズムなどのセキュリティに関する情報、および、それによる通信路）の自動生成と管理を行うプロトコルです。

ちなみに、ISAKMP（Internet Security Association and Key Management Protocol）は、IKE プロトコルの手順に従って実際にパラメータを交換するプロトコル、そして、Oakley（Oakley Key Determination Protocol）は、実際に鍵を交換するためのプロトコルのひとつとなります。

肢イに関連して、IPsec の AH、ESP に使用される認証アルゴリズムとして、HMAC-MD5、HMAC-SHA1があります。また、ESP に使用される暗号化アルゴリズムとしては、DES-CBC、3DES-CBC、AES-CBC があります。

 

平成１９年度テクニカルエンジニア（情報セキュリティ）試験の午前試験の問１２。

問１２　図は IPsec のデータ形式を示している。ESP トンネルモードの電文中で、暗号化されているのはどの部分か。

新 IP ヘッダ

ESP ヘッダ

オリジナル IP ヘッダ

TCP ヘッダ

データ

ESP トレーラ

ESP 認証データ

ア　ESP ヘッダから ESP トレーラまで

イ　TCP ヘッダから ESP 認証データまで

ウ　オリジナル IP ヘッダから ESP トレーラまで

エ　新 IP ヘッダから ESP 認証データまで

答えは、ウ。

トンネルモードでは、暗号化の範囲は、もとの IP パケットの IP ヘッダから ESP トレーラまで。認証（ハッシュの対象）の範囲は、ESP ヘッダから ESP トレーラまで。

ちなみに、トランスポートモードでは、次のようになります。

トランスポートモードでは、暗号化の範囲は、TCP ヘッダから ESP トレーラまで。認証（ハッシュの対象）の範囲は、ESP ヘッダから ESP トレーラまで。

 

平成１８年度テクニカルエンジニア（ネットワーク）試験の午前試験の問４１。

問４１　IP ネットワークの VPN サービスを実現する技術の一つである MPLS の説明として、適切なものはどれか。

ア　IP プロトコルに暗号化や認証などのセキュリティ機能を付加するための規格である。

イ　L2F と PPTP を統合して改良したデータリンク層のトンネリングプロトコルである。

ウ　PPP データフレームを IP パケットでカプセル化して、インターネットを通過させるためのトンネリングプロトコルである。

エ　ラベルと呼ばれる識別子を挿入することによって、IP アドレスに依存しないルーティングを実現する、ラベルスイッチング方式を用いたパケット転送技術である。

答えは、エ。

MPLS（Multi Protocol Label Switching）では、IP パケットにラベルと呼ばれる情報を付加し、そのラベルによって IP パケットの転送を行います。IP-VPN を実現する技術のひとつとされています。