令和6年度 春期 午前Ⅱ 問21

✓ これが正解アESPのトンネルモードを使用すると，暗号化通信の区間において，エンドツーエンドの通信で用いる元のIPヘッダーを含めて暗号化できる。

解説

ESP のトンネルモードは、元の IP ヘッダーごと暗号化できます。

IPsec の ESP には、トランスポートモードとトンネルモードの二つの使い方があります。トンネルモードでは、元の IP パケット全体を ESP で包み、その外側に暗号化区間の出入口となる機器どうしの新しい IP ヘッダーを付けます。そのため、エンドツーエンドの通信で使う元の IP ヘッダーも、データと一緒に暗号化されます。トランスポートモードでは元の IP ヘッダーはそのまま残り、データ部分だけが保護されます。見分ける軸は、各プロトコルや方式が受け持つ役目を正しく言えているかです。トンネルモードは元のパケットを丸ごと包む、と覚えておくと、ヘッダーまで隠せる理由が分かります。

ほかの選択肢はなぜ違うのか

• イIKEはIPsecの鍵交換のためのプロト…：IKE が IPsec の鍵交換のためのプロトコルである点は正しいですが、使うのは UDP の500番ポートです。80番は Web の HTTP で使う番号で、IKE のポート番号ではありません。
• ウ暗号化アルゴリズムとして，HMAC-SH…：HMAC-SHA1 は、ハッシュ関数と鍵を組み合わせてメッセージ認証の値を作るアルゴリズムです。データが改ざんされていないかを確かめるために使うもので、内容を秘匿する暗号化のアルゴリズムではありません。
• エ二つのホストの間でIPsecによる通信を…：認証や暗号化のアルゴリズムを両者で取り決めるのは、IKE による鍵交換の手順です。AH は通信の改ざん検知と送信元の認証を受け持つヘッダーで、アルゴリズムを交渉する役目はなく、暗号化も行いません。