【情報セキュリティマネジメント】セキュアプロトコルと実装技術、守る対象で見分ける｜TLS・IPsec・送信ドメイン認証・WPA3

2026.08.27

TLS、IPsec、SSH、WPA3は、いずれも通信の安全性を高める技術ですが、守る区間と用途が異なります。

電子メールでも、S/MIMEは本文や添付ファイルの暗号化・署名、SPF・DKIM・DMARCは送信元ドメインの詐称対策に使います。また、安全な通信路があっても、Webアプリケーション側のSQLインジェクションやクロスサイトスクリプティング（XSS）は別に対策する必要があります。

科目Bでは、何を守るかを先に確認します。

読み終えるころには、事例に出てくる技術が通信路・メール・無線・アプリのどれを守るものかを切り分け、守備範囲を超えて期待していないかを確認できるようになります。

先に結論：通信路・メール・無線・アプリを分ける

守る対象・場面 主な技術 主な役割
Webなどの通信 TLS、HTTPS 通信内容の機密性・完全性、接続先認証を支える
拠点間などのIP通信 IPsec、VPN IP層で通信を保護する
サーバの遠隔管理 SSH 遠隔ログインや操作の通信を保護する
メール本文・添付 S/MIME 暗号化、デジタル署名
送信元ドメインの詐称 SPF、DKIM、DMARC ドメイン認証、Fromとの整合、方針・報告
無線LAN区間 WPA2、WPA3 端末とアクセスポイント間の無線通信を保護する
SQLの実行 パラメータ化クエリ SQLの構造と入力値を分離する
Web画面への出力 文脈に応じた出力エンコード データを実行可能なコードとして解釈させにくくする

SGシラバスでの位置付け

SGシラバス Ver.4.1ではセキュアプロトコルとしてIPsec、TLS、SSL/TLS、SSH、HTTPS、WPA2、WPA3が明示されています。

認証技術の用語例には、送信元ドメイン認証、SPF、DKIM、DMARC、S/MIMEがあります。また、アプリケーションセキュリティにはクロスサイトスクリプティング対策、SQLインジェクション対策が明示されています。

1．TLSとHTTPS：クライアントとサーバの通信路を守る

TLSは、クライアントとサーバ間の通信について、暗号化、改ざん検知、サーバ証明書などによる接続先認証を支えます。構成によってはクライアント認証も行います。

HTTPSはHTTPをTLSで保護する仕組みです。ただし、HTTPSは通信路を保護するもので、Webサイトの内容自体の安全性までは保証しません。

現在のTLS 1.3仕様はRFC 9846です。RFC 8446を廃止しましたが、バージョン番号は1.3のままです。

2．IPsec：IP層で通信を守る

IPsecは、IP通信に認証、完全性保護、暗号化などを提供する技術群です。代表例はサイト間VPNです。

Web通信はTLS・HTTPS、拠点間などのIP通信はIPsec、無線LAN区間はWPA2・WPA3というように守る区間で見分けます。

3．SSH：遠隔管理通信を守る

SSHは、遠隔ログイン、コマンド操作、ファイル転送などの通信を保護します。適切な認証、接続元制限、最小権限、秘密鍵の保護、操作記録なども組み合わせます。

Telnetは通常通信を暗号化しないため、認証情報や操作内容を保護する遠隔管理ではSSHを選びます。

4．S/MIME：メール内容を暗号化・署名する

S/MIMEは、電子メール本文・添付の暗号化とデジタル署名に用います。署名は署名者の確認と署名対象部分の改ざん検知を支えます。

送信元IPアドレスを認証する仕組みや無線LAN暗号化規格ではありません。証明書・認証局の詳細は暗号・PKIの記事で扱います。

5．SPF・DKIM・DMARC：送信元ドメインの詐称対策

SGシラバスでは送信元ドメイン認証と表記されています。

仕組み 主に確認すること 単独では保証しないこと
SPF MAIL FROMなどのドメインが送信ホストを許可しているか 表示上のFromの本人性、本文の完全性
DKIM どのドメインが署名し、署名対象部分が変わっていないか 表示上のFromとの整合、送信者個人の身元
DMARC SPF又はDKIMの認証ドメインと表示上のFromドメインが整合するか 本文・リンク・添付ファイルの安全性

SPFは表示上のFromを直接認証しない

SPFは、DNSに示された許可情報を基に、MAIL FROMやHELOのドメインを送信ホストが使用してよいか確認します。

DMARCでSPFを使う場合はMAIL FROMの認証ドメインと表示上のFromドメインとの整合を見るため、SPF成功だけで表示上のFromの本人性を保証するわけではありません。

DKIMは署名ドメインと署名対象部分を確認する

DKIMは、メールのデジタル署名をDNSで公開された鍵で検証し、署名ドメインと署名対象部分が変更されていないことを確認します。署名ドメインと表示上のFromドメインは必ずしも同じではありません。

DMARCは認証結果とFromの整合を見る

DMARCは、SPF又はDKIMで認証に成功したドメインと、表示上のFromに当たるAuthor Domainとの整合を確認します。

SPFとDKIMの両方の成功は必須ではありません。 少なくとも一方が成功し整合すればDMARCのpassにつながります。失敗時の取扱方針や集約レポートも扱いますが、passしても本文・リンク・添付の安全性までは保証しません。

6．WPA2・WPA3：無線LAN区間を守る

WPA2やWPA3は、端末とアクセスポイント間の無線通信を保護します。利用者・端末認証、ネットワーク分離、機器更新なども組み合わせます。

MACアドレスフィルタリングは接続制御であり、通信暗号化ではありません。SSID非公開も暗号化の代替にはなりません。

7．SQLインジェクション対策：SQLの構造と値を分ける

SQLインジェクション対策では、プレースホルダを用いたパラメータ化クエリが重要です。SQL構造を固定し、利用者入力を値として渡します。

入力形式確認、DB最小権限、適切なエラー処理、レビュー・テスト、WAFなども組み合わせます。独自の文字除去だけをパラメータ化の代わりにはしません。

8．XSS対策：出力先の文脈に合わせる

XSS対策では、信頼できないデータを出力するときに、出力先の文脈に応じたエンコードを行います。HTML本文、属性、URL、JavaScriptなどで処理方法は異なります。

HTML入力を許可する場合などはサニタイズを用います。入力検証だけで完結させず、実際の出力場所に応じた処理を確認します。

9．科目Bでの使われ方

  1. 何を守る場面か

Web通信、拠点間通信、遠隔管理、メール、無線LAN、SQL、画面出力のどれか

  1. 技術の守備範囲は合っているか

WPA3を拠点間VPN対策、S/MIMEを無線LAN対策としていないか

  1. 一つの技術を過大評価していないか

HTTPS、DMARC、WPA3などを導入すれば全て安全としていないか

  1. アプリでは根本対策があるか

SQLではパラメータ化、XSSでは文脈に応じた出力処理があるか

担当者としては、導入済みの技術がどの区間を守るものかを確認し、守備範囲の外に残る対策を洗い出します。設定変更や別の技術の導入が必要と判断した場合は、独断で進めず、業務への影響とあわせて上位者や運用担当部署へ報告します。委託先が開発するシステムに関わる場合は、契約担当者と協力して実装上の要求事項を確認します。

よくある取り違え

誤った考え方 正しい整理
HTTPSならWebサイトの内容も必ず安全 HTTPSは主に通信路を保護する
拠点間通信をWPA3で保護する WPA3は無線LAN区間、拠点間はIPsecなどを検討する
SSHを使えば認証や権限制限は不要 認証・鍵管理・最小権限なども必要
S/MIMEは送信元IPを認証する メール内容の暗号化・署名に使う
SPF成功なら表示上のFromも本人 SPFと表示上のFromは同じ確認ではない
DMARCはSPFとDKIMの両方の成功が必須 少なくとも一方の成功とFromとの整合が基本
MACアドレス制限で無線暗号化は不要 接続制御と通信保護は別
SQL文を複雑にすればSQLiを防げる パラメータ化して構造と値を分ける
入力検証だけでXSS対策は完了 出力先の文脈に応じた処理が必要

まとめ

  • TLS・HTTPSはクライアントとサーバ間の通信を保護する
  • IPsecはIP層、SSHは遠隔管理、WPA2・WPA3は無線LAN区間を守る
  • S/MIMEはメール内容の暗号化・デジタル署名に利用する
  • SPFは送信ホストの許可、DKIMは署名ドメインと署名対象部分、DMARCは認証ドメインとFromの整合を中心に見る
  • DMARCではSPFとDKIMの両方の成功が必須ではない
  • SQLインジェクション対策ではパラメータ化クエリが重要
  • XSS対策では出力先の文脈に応じたエンコードが重要
  • 科目Bでは、守る対象と技術の役割を対応させる

関連記事

  • C1-T05：標的型攻撃
  • C1-T07：ソーシャルエンジニアリングとフィッシング
  • C1-T09：ネットワーク・通信への攻撃
  • C1-T10：Webアプリケーションへの攻撃
  • C2-T01：暗号方式の基本
  • C2-T05：PKIとデジタル証明書
  • C5-T08：セキュリティ製品の使い分け
  • C5-T10：データ保護とバックアップ
  • C9-T03：主要プロトコルの役割

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • RFC 9846「The Transport Layer Security (TLS) Protocol Version 1.3」
  • RFC 4301「Security Architecture for the Internet Protocol」
  • RFC 4251「The Secure Shell (SSH) Protocol Architecture」
  • RFC 8551「S/MIME Version 4.0 Message Specification」
  • RFC 7208「Sender Policy Framework (SPF)」
  • RFC 6376「DomainKeys Identified Mail (DKIM) Signatures」
  • RFC 9989「Domain-Based Message Authentication, Reporting, and Conformance (DMARC)」
  • RFC 9990「DMARC Aggregate Reporting」
  • OWASP「SQL Injection Prevention Cheat Sheet」
  • OWASP「Cross Site Scripting Prevention Cheat Sheet」

関連する問題

コメント

タイトルとURLをコピーしました