VPNとは？

VPNの意味

公衆網の上に暗号化された経路を作り、離れた拠点や機器を同じ閉じた網に属しているかのように接続する技術。認証と暗号化と完全性検査を組み合わせ、盗聴と改ざんを防いだうえで内部向けの通信を通す。

VPNの具体例

現場に設置した制御機器の保守のため、保守員の端末から拠点網へ接続して機器へ到達する。機器側に個別の外部公開口を設けずに済み、公開する接点をVPNの入口1か所に集約して監視できる。

VPNは試験でどう引っ掛けられる？

VPNを張れば内部は無条件に信用してよい、とはならない。端末が汚染されていれば内部網へ直結する経路になるため、接続後も機器ごとの認証と権限の限定を併用する設計が要求される。

VPNと関連する用語

• ファイアウォール
• 中間者攻撃

VPNが出た過去問

• IPsecに関する記述のうち，適切なものはどれか。

  正解：トンネルモードを使用すると，暗号化通信の区間において，エンドツーエンドの通信で用いる元のIPのヘッダを含めて暗号化できる。

  要点：トンネルモードは元IPヘッダごと暗号化して包む

  IPsecのトンネルモードは、元のIPヘッダを含むIPパケット全体を暗号化し、新たなIPヘッダを付け直して転送します。そのため通信区間では本来の送信元・宛先アドレスも秘匿され、拠点間VPNに適します。一方トランスポートモードはペイロードだけを保護します。

  出典：平成28年度 秋期 情報処理安全確保支援士試験 am2 問15（IPA）

• PCからサーバに対し,IPv6を利用した通信を行う場合,ネットワーク層で暗号化を行うときに利用するものはどれか。

  正解：IPsec

  要点：ネットワーク層で暗号化するプロトコルはIPsec

  IPsecは、IPパケット自体を暗号化・認証するネットワーク層のプロトコル群で、AHが完全性と認証を、ESPが暗号化を担い、IKEで鍵交換を行う。上位のアプリケーションを変更せずに通信を保護できる点が特徴で、IPv6では当初から標準的な仕組みとして位置付けられている。VPNの構築にも広く使われる。

  出典：令和4年度 秋期 情報処理安全確保支援士試験 am2 問13（IPA）

• DTLSの特徴はどれか。

  正解：UDPのペイロードデータの暗号化を可能としている。

  要点：DTLSはUDP上でTLS相当の暗号化を行う

  DTLS（Datagram Transport Layer Security）は、UDPのようなデータグラム型の通信路の上でTLS相当の暗号化・認証を実現するプロトコルである。TLSがTCPの信頼性を前提とするのに対し、DTLSはパケットの欠落や順序入れ替わりを許容する仕組みを備えており、リアルタイム通信やVPNなどで使われる。

  出典：令和6年度 秋期 情報処理安全確保支援士試験 am2 問15（IPA）

• ネットワーク層のパケットを対象としてIPパケットでカプセル化し,トンネリングを行えるプロトコルはどれか。

  正解：IPsec

  要点：IPsecトンネルモードはIPパケットをIPでカプセル化する

  IPsecのトンネルモードは、元のIPパケット全体を暗号化・認証した上で新しいIPヘッダーを付けて送出する。つまりネットワーク層のパケットをIPパケットでカプセル化してトンネリングする方式であり、拠点間VPNの標準的な手段となっている。

  出典：令和6年度 秋期 情報処理安全確保支援士試験 am2 問18（IPA）

• マルウェア感染の調査対象のPCに対して、電源を切る前に全ての証拠保全を行いたい。ARPキャッシュを取得した後に保全すべき情報のうち、最も優先して保全すべきものは…

  正解：調査対象のPCで動的に追加されたルーティングテーブル

  要点：証拠保全は揮発性の高い情報から順に採取する

  証拠保全は「揮発性の高いものから順に採取する」という原則（order of volatility）に従います。ARPキャッシュと同様に動的なルーティングテーブルはメモリ上にあり、時間経過や電源断で失われるため最優先です。HDD上のファイルやシステムログはディスクに残り、VPNサーバ内のログは調査対象PCの電源とは無関係なので、いずれも後回しにできます。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問15（IPA）