セキュリティ実装技術｜情報セキュリティマネジメント試験

守りたい場所ごとに、実際に使う仕組みを対応づける

セキュリティ実装技術は、これまでの考え方を実際の通信や機器の上でどう実現するかを扱います。電子メール、通信路、無線LAN、Webアプリケーション、弱点の検査と、守る場所ごとに束ねると整理できます。

電子メールは差出人を偽りやすく、送信元ドメイン認証は受信側でその真偽を確かめます。SPFは、そのドメインからメールを送ってよいサーバのIPアドレスをDNSで公開し、受信側が実際の送信サーバと照合します。DKIMは送信側が署名を付け、受信側が公開鍵で検証します。どちらも受信側の判定で、送信者をメールサーバで認証するSMTP-AUTHとは場面が違います。本文そのものを暗号化し署名も付けられるのがS/MIMEです。

通信路を守る技術は、働く層で分かれます。TLSを用いるHTTPSはWebのやり取りを暗号化し、サーバ証明書で相手が本物かを確かめます。IPsecはネットワーク層で働き、認証ヘッダと暗号ペイロードという二つのプロトコルを含み、VPNに使われます。SSHは離れた機器を安全に操作する仕組みです。

無線LANは電波の届く範囲なら誰でも接続を試せるため、暗号化と認証が要ります。WPA3は、広く使われたWPA2の弱点に対策を加えた後継の規格です。つなげる相手を限るには、機器固有の番号で絞るほか、一度きりのワンタイムパスワードや、送られた値に鍵で答えるチャレンジレスポンスを使います。

Webアプリケーションは入力を通じて突かれます。データベースへの命令を組み立てる部分に細工した入力を送るSQLインジェクションには、値を後から当てはめるプレースホルダが有効です。プログラムによる自動入力を退けるには、ゆがめた画像の文字を読ませるCAPTCHAが使われます。

弱点は作ったあとに探します。内部の作りを見て調べるのがホワイトボックステスト、問題を起こしそうなデータを自動生成して入力し応答から弱点を見つけるのがファジング、攻撃者と同じ手順で侵入を試すのがペネトレーションテストです。