令和5年度 春期 午前Ⅱ 問9

✓ これが正解ウオリジナルIPヘッダーからESPトレーラまで

解説

暗号化されるのはオリジナルIPヘッダーからESPトレーラまでです。

ESPトンネルモードでは、元のIPパケット全体を包み込み、その前に新しいIPヘッダーとESPヘッダーを付けます。暗号化の対象は、元のパケットであるオリジナルIPヘッダー、TCPヘッダー、データと、その後ろに付くESPトレーラです。新IPヘッダーは途中のルータが転送に使うので暗号化できず、ESPヘッダーは受信側がどの設定で処理するかを見分けるための情報を含むので、平文のまま送ります。ESP認証データは、改ざんを検知するための値で、暗号化した部分の外側に付きます。ESPヘッダーとESP認証データにはさまれた中身が暗号化される、と位置で覚えると見分けられます。

ほかの選択肢はなぜ違うのか

• アESPヘッダーからESPトレーラまで：ESPヘッダーは、受信側がどの設定で復号するかを見分けるための情報を含むので、暗号化せずに送ります。ここから数え始めると、平文でなければ困る部分まで暗号化の範囲に入れてしまいます。
• イTCPヘッダーからESP認証データまで：TCPヘッダーから数えると、トンネルモードで隠したい元のIPヘッダーが範囲から外れます。また末尾のESP認証データは改ざんの検知に使う値で暗号化はされないので、始まりと終わりの両方がずれています。
• エ新IPヘッダーからESP認証データまで：新IPヘッダーは、途中のルータが宛先を見て転送するために読めなければならないので、暗号化できません。ESP認証データも暗号化の外側に付くため、全体を暗号化するという範囲は成り立ちません。