午後まとめ試験午後問題　問3

問3　セキュリティ実装技術

ネットワークセキュリティに関する次の記述を読んで，設問1～4に答えよ。

　A社は，社内に設置したWebサーバ上に，自社の製品を紹介するWebサイトを構築し，運営している。A社は，このWebサイトで会員登録を受け付け，登録された会員に対してメールマガジンを発行している。
　A社のネットワーク構成を，図1に示す。
pm03_1.gif
　会員登録処理の流れは次のとおりである。
  • 登録希望者は，インターネットを介し，Webサーバが管理する入会申込用WebページにHTTP over SSL/TLS(以下，HTTPSという)でアクセスし，メールアドレスを入力する。
  • Webサーバは，登録希望者ごとに，登録希望者専用の会員情報入力用Webページを生成し，そのURLを記載した電子メール(以下，メールという)を，入力されたメールアドレス宛てに送信する。
  • 登録希望者は，(2)で送信されたメールに記載されたURLが示すWebページにHTTPSでアクセスして，氏名や職業などの会員情報(メールアドレスは含まない)を入力する。
  • Webサーバは，(1)のメールアドレスと(3)の会員情報を，会員管理サーバ上で稼働しているデータベース(以下，会員情報DBという)に登録する。
  • Webサーバは，会員登録完了を知らせるメールを，(1)のメールアドレス宛てに送信する。
　メールマガジン発行の流れは次のとおりである。
  • メールマガジン担当者は，業務用PCのWebブラウザから，メールマガジン送信サーバのメールマガジン入力用WebページにHTTPでアクセスし，メールマガジンの本文を入力する。
  • メールマガジン送信サーバは，会員情報DBから全ての会員のメールアドレスを取得し，取得したメールアドレス宛てにメールでメールマガジンを送信する。
　なお，メールは，メールサーバで稼働しているメール転送サービスを介して送信する。また，本問では，URLやメールアドレスなどの名前解決については，考慮しなくてよいこととする。

設問1

会員登録の際，登録希望者が最初にアクセスする入会申込用Webページでは 登録希望者のメールアドレスだけを入力させ，会員情報の入力は別途行わせる方式を採っている。このように2段階の手順を踏む主な目的として適切な答えを解答群の中から選べ。
解答群
  • 他人のメールアドレスや間違ったメールアドレスが登録されないようにする。
  • 通信を暗号化し，登録希望者の会員情報が第三者に漏れないようにする。
  • 登録希望者が会員情報DBにアクセスできないようにする。
  • 間違った会員情報(メールアドレスは含まない)が登録されないようにする。
解答選択欄
  • 　
  • 　ア

解説

入会申込ページでのールアドレスの入力が誤っていた場合や、自身の管理下にないメールアドレスが入力された場合には会員情報入力用WebページのURLを記載したメールが届かず、次のステップに進むことができません。
二段階の手順を踏むことで、誤ったメールアドレスが会員情報DBに登録されるのを防ぐ効果があります。(登録フォームにてメールアドレスを2回入力させる例もあり簡便ですが、メールアドレスの正当性の観点でいえばこの設問の方法のほうが確実です。)

情報登録後に仮登録メールを送信し、その本文の中のURLをクリックさせることで本登録完了とする仕組みも同様の目的があります。
  • 正しい。
  • 会員情報の登録はHTTPS通信で行われるため通信の内容が漏れることはありません。
  • インターネット上から会員情報DBへのアクセスはルータで遮断されるので、この手順とは関係がありません。
  • この方法で担保できるのはメールアドレスの正当性だけです。その後に行われる会員情報の正当性は確認できません。

設問2

次の記述中の　に入れる正しい答えを，解答群の中から選べ。

　ルータは，動的なパケットフィルタ型のファイアウォール機能を搭載していて，設定で許可したパケットだけを通過させる。
　設定は，送信元，送信先，通信ポートの順に","で区切って記述する。これは，送信元から送信先の通信ポート宛てのパケットの通過を許可することを意味する。許可されたパケットに対する応答パケットの通過も許可される。
　送信元及び送信先には，IPアドレス又はネットワークインタフェースを指定する。IPアドレスを指定したときに許可の対象となるパケットは，送信元又は送信先のIPアドレスが，指定されたIPアドレスであるパケットである。ネットワークインタフェースを指定したときに許可の対象となるパケットは，そのネットワークインタフェースから入ってくるパケット(送信元として指定したとき)，又は出ていくパケット(送信先として指定したとき)である。
　通信ポートには，各サービスがパケットを待ち受けるポート番号を指定する。A社の各サーバ上で稼働している各サービスが使用するプロトコルと待受けポート番号を，表1に示す。
pm03_2.gif
　現在のルータの設定を，図2に示す。
　1行目の設定で，インターネットからWebサーバにHTTPでアクセスすることを許可し，2行目の設定で，インターネットから入ってくるメールを，メールサーバに転送することを許可している。
pm03_3.gif
a，b に関する解答群
  • 192.168.0.2,443
  • 192.168.0.2,4194
  • 192.168.0.3,4194
  • 203.0.113.2,443
  • 203.0.113.2,4194
  • if0,443
解答選択欄
  • a:
  • b:
  • a=エ
  • b=ウ

解説

ルータに設定されているフィルタリングルールをネットワーク機器やセグメントに照らし合わせると以下の設定がされていることがわかります。
pm03a.gif
まず、フィルタリングルール中の if0,a は、インターネットが送信元である通信を示しています。
会員登録、及びメールマガジン送信の手順で、インターネットから受け付けるべき通信は、(1)の手順である「登録希望者は，インターネットを介し，Webサーバが管理する入会申し込み用WebページにHTTPSでアクセスし、…」、及び(3)「登録希望者は，(2)で送信されたメールに記載されたURLが示すWebページに，HTTPでアクセスし，…」の2つです。

上記のルールではインターネットからのHTTP通信は許可されていますが「インターネットからWebサーバへのHTTPS通信」が含まれていないため、これを許可しなくてはなりません。したがってインターネット(if0)からWebサーバ(203.0.113.2)へのHTTPS通信(443)のルール「if0,203.0.113.2,443」が必要となります。

∴a＝エ：203.0.113.2,443

次に 203.0.113.2,a のルールですが、これはWebサーバが送信元である通信を表しています。Webサーバが送信元でルータを経由する通信は「インターネットへHTTP応答」「インターネットへのHTTPS応答」「会員管理サーバへの登録要求」の3つですが、HTTP応答とHTTPS応答の2つはダイナミックパケットフィルタリングの「許可されたパケットのに対する応答パケットの通過も許可される」という機能によって自動的に許可されるので、新たなルールとして追加する必要はありません。したがって追加されるべきルールはWebサーバ(203.0.113.2)から会員管理サーバ(192.168.0.3)への通信(独自プロトコル4194)、つまり「203.0.113.2,192.168.0.3,4194」になります。

∴b＝ウ：192.168.0.3,4194

設問3

次の記述中の　に入れる正しい答えを，解答群の中から選べ。

　A社は，Webサーバのメンテナンスを外部委託し，委託先内の特定のPCから，インターネットを介して，Webサーバを操作できるようにした。そのために，Webサーバ上に待受けポート番号22でSSHサービスを稼働させ，ルータの設定に"c"の行を追加した。
　なお，このPCから送信されたパケットがルータに到着したとき，このパケットの送信元IPアドレスは，198.51.100.2となっている。
c に関する解答群
  • 198.51.100.2,203.0.113.2,22
  • 198.51.100.2,if0,22
  • 203.0.113.2,198.51.100.2,22
  • if0,198.51.100.2,22
解答選択欄
  • c:
  • c=ア

解説

委託先のPCのIPアドレスが「198.51.100.2」なので、このIPアドレスを送信元、宛先をWebサーバとするSSH通信を許可すればよいことになります。

Webサーバのアドレスは「203.0.113.2」、SSHのポート番号は「22」なので、追加されるべきルールは「198.51.100.2,203.0.113.2,22」です。

∴ア：198.51.100.2,203.0.113.2,22

設問4

次の記述中の　に入れる正しい答えを，解答群の中から選べ。

　SSHサービスがクライアントを認証する方式には，パスワード認証方式と公開鍵認証方式がある。A社は公開鍵認証方式を採用した。
　公開鍵認証方式では，秘密鍵で作成した署名が，対応する公開鍵で検証できることを利用して，次のようにクライアントを認証する。
  • クライアントは，秘密鍵を使って作成した署名と，その秘密鍵に対応する公開鍵をサーバに送る。
  • サーバは，(1)の公開鍵がサーバに登録されていることを確認し，公開鍵で(1)の署名を検証する。
  • 検証に成功すれば，クライアントがサーバに登録されている公開鍵に対応する秘密鍵をもっていることが証明されるので，サーバは，クライアントを認証する。
　このように，公開鍵認証方式では，クライアントがサーバのSSHサービスを利用する際に，パスワードやdをネットワーク上に流す必要がない。
d に関する解答群
  • 公開鍵
  • 秘密鍵
  • 秘密鍵及び公開鍵
解答選択欄
  • d:
  • d=イ

解説

上記の認証方式で、クライアントからサーバに送信される認証情報は、秘密鍵で作成した署名と公開鍵です。パスワードや秘密鍵を通信経路上に流すと盗聴などの危険性がありますが、この方式では秘密情報を通信経路上でやり取りすることなしに認証が可能です。

公開鍵は、もともと広く公開される鍵なので通信経路上に流れてもセキュリティ上の問題は生じません。

∴d＝イ：秘密鍵
広告

前の問題次の問題

▲
Pagetop