TLS（SSL）による通信の暗号化とは？

TLS（SSL）による通信の暗号化の意味

トランスポート層の上で通信路を保護する仕組み。ハンドシェイクで暗号スイートを合意し、サーバを証明書で認証したうえで共通鍵を共有し、以降は共通鍵暗号で本文を、MACやAEADで完全性を守る。応用情報では「どの層で何を守るのか」「認証と暗号化のどちらを担うのか」が問われる。

TLS（SSL）による通信の暗号化の具体例

HTTPSではTCP接続確立後にTLSハンドシェイクが走り、TLS 1.3では往復1回で鍵合意まで終わる。負荷分散装置でTLSを終端すると、その先の内部区間は平文になるため、内部区間も暗号化するか物理的に保護された経路に限定するかを設計時に決める。

TLS（SSL）による通信の暗号化は試験でどう引っ掛けられる？

TLSは「盗聴・改ざん・なりすまし」を防ぐが、サーバ内部に保存されたデータや、アプリケーションの脆弱性は一切守らない。証明書があること＝安全なサイトではなく、証明書はドメインの正当性を示すだけである点も混同されやすい。

TLS（SSL）による通信の暗号化と関連する用語

• サーバ証明書と認証局・失効確認（CRL・OCSP）
• 鍵交換（Diffie-Hellman）と前方秘匿性
• HTTPセキュリティヘッダ（HSTS・CSP）

TLS（SSL）による通信の暗号化が出た過去問

• 図のような構成と通信サービスのシステムにおいて，Webアプリケーションの脆弱性対策のためのWAFの設置場所として，最も適切な箇所はどこか。ここで，WAFには通信…

  正解：c

  要点：WAFはHTTPが平文になる区間に設置しないと検査できない

  WAFはHTTPリクエストの中身を解析して攻撃を検出するため、通信が平文である区間に置く必要がある。この構成ではSSLアクセラレータが復号を担っているので、その先のWebサーバとの間の平文HTTP区間に設置するのが適切である。

  出典：平成29年度 春期 応用情報技術者試験 午前 問43（IPA）

• Webサーバを使ったシステムにおいて、インターネット経由でアクセスしてくるクライアントから受け取ったリクエストをWebサーバに中継する仕組みはどれか。

  正解：リバースプロキシ

  要点：リバースプロキシはサーバ側に置き外部からの要求を代理受信する

  リバースプロキシはWebサーバの手前に設置され、インターネット側のクライアントからの要求を代わりに受け取って背後のWebサーバへ中継する。サーバの存在を隠蔽できるほか、負荷分散やSSL処理の肩代わり、キャッシュによる負荷軽減にも使われる。

  出典：令和1年度 春期 応用情報技術者試験 午前 問35（IPA）

• リバースプロキシの説明として、適切なものはどれか。

  正解：インターネットから内部ネットワークの公開Webサーバへの通信を、中継するために利用される。

  要点：リバースプロキシは外部から内部の公開サーバへの通信を代理する

  リバースプロキシは、インターネット側のクライアントから見てWebサーバの代理として前面に立ち、受け付けた要求を内部の公開Webサーバへ中継する。サーバを直接外部へ晒さずに済み、負荷分散やSSL処理の集約、コンテンツキャッシュなども担える。内部から外部への中継を行う通常のプロキシとは向きが逆である。

  出典：令和7年度 秋期 応用情報技術者試験 午前 問31（IPA）