IPsec（AH・ESP）とは？

IPsec（AH・ESP）の意味

IP層で通信を保護するプロトコル群。AHは認証と完全性のみを提供し、ESPは暗号化も行う。上位のTCPやアプリケーションを変更せずに保護できるのが特徴で、鍵の合意はIKEが担当する。応用情報ではAHとESPの機能差と、2つのモードの使い分けが問われる。

IPsec（AH・ESP）の具体例

拠点間接続ではトンネルモードを使い、元のIPヘッダごと暗号化して新しいヘッダを付ける。個々のサーバ間だけを保護したい場合はトランスポートモードでペイロードのみを暗号化する。前者は経路上の攻撃者に内部アドレスを見せない利点がある。

IPsec（AH・ESP）は試験でどう引っ掛けられる？

AHは暗号化しないため機密性は得られない。またAHはIPヘッダも認証対象に含むためNAT環境で不整合を起こしやすく、NAT越えではESPとUDPカプセル化を使うのが一般的である。

IPsec（AH・ESP）と関連する用語

• VPNとトンネリング
• TLS（SSL）による通信の暗号化
• SSHと公開鍵認証

IPsec（AH・ESP）が出た過去問

• IPv6において、拡張ヘッダを利用することによって実現できるセキュリティ機能はどれか。

  正解：暗号化機能

  要点：IPv6の拡張ヘッダでIPsecの暗号化と認証を実現できる

  IPv6では基本ヘッダの後ろに拡張ヘッダを連ねることができ、その一つとしてIPsecの認証ヘッダ（AH）と暗号ペイロード（ESP）が規定されています。ESPを使えばペイロードの暗号化による機密性の確保が、AHを使えば完全性と認証が実現できます。URLの選別やウイルス検査は上位層のアプリケーションが担う機能です。

  出典：平成28年度 秋期 応用情報技術者試験 午前 問36（IPA）

• VPNで使用されるセキュアなプロトコルであるIPsec，L2TP，TLSの，OSI基本参照モデルにおける相対的な位置関係はどれか。

  正解：C：上位から下位へ TLS, IPsec, L2TP の順に層を積む構成

  要点：層の順はTLSが上、IPsecが中、L2TPが下

  L2TPはデータリンク層のトンネリングプロトコル、IPsecはネットワーク層でIPパケットを保護するプロトコル、TLSはトランスポート層より上でアプリケーションのデータを保護するプロトコルである。したがって上位から下位へ並べるとTLS、IPsec、L2TPの順になる。

  出典：平成29年度 春期 応用情報技術者試験 午前 問45（IPA）

• IPv6において、拡張ヘッダを利用することによって実現できるセキュリティ機能はどれか。

  正解：暗号化通信機能

  要点：IPv6の拡張ヘッダはIPsecによる暗号化・認証を担う

  IPv6は基本ヘッダの後ろに拡張ヘッダを連ねる構造をもち、その中に認証ヘッダ（AH）や暗号ペイロード（ESP）を置くことでIPsecの機能を実現します。これによりIPレイヤでの暗号化通信や完全性の保証が可能になります。フィルタリングやマルウェア検知はより上位の機能です。

  出典：令和1年度 秋期 応用情報技術者試験 午前 問36（IPA）

• VPNで使用されるセキュアなプロトコルであるIPsec, L2TP, TLSの、OSI基本参照モデルにおける相対的な位置関係はどれか。

  正解：C(上位層から:TLS, IPsec, L2TP)

  要点：上位からTLS、IPsec、L2TPの順に階層が下がる

  L2TPは名前のとおりデータリンク層（レイヤ2）のフレームをトンネリングするプロトコルで最も下位に位置する。IPsecはIPパケットを保護するネットワーク層のプロトコルでその上、TLSはトランスポート層の上でアプリケーションデータを保護するため最上位となる。したがって上位から TLS、IPsec、L2TP の順である。

  出典：令和1年度 春期 応用情報技術者試験 午前 問42（IPA）

• PCからサーバに対し、IPv6を利用した通信を行う場合、ネットワーク層で暗号化を行うときに利用するものはどれか。

  正解：IPsec

  要点：IPsecはネットワーク層で暗号化・認証を行う

  IPsecはネットワーク層（IP層）で認証と暗号化を行うプロトコル群で、IPv6では標準的に利用できる。上位のアプリケーションを変更しなくても通信全体を保護できる点が特徴である。

  出典：令和2年度 10月 応用情報技術者試験 午前 問37（IPA）