これらから、HTTP/HTTPSの違いでプロキシサーバは内容に対して何ができるかを考える必要があります。暗号通信路の確立の有無による影響は、内容を「読み取れる」かどうかと考えられます。従って、解答は「読み取る」です。プロキシサーバとは代理サーバとも呼ばれるサーバで、通常、クライアントとWebサーバの間に入って通信制御(クライアントの通信をプロキシサーバが受け取り、クライアントの代わりにWebサーバと通信する)を行いますが、TLSセッション成立時の暗号化通信が確立した後はプロキシサーバでも中身を見ることはできないため、このような通信制御はできません。】に当てはまる字句を考えます。P9の6行目より、「特定のURLへの接続を禁止するブラックリスト機能の適用を検討した」に対する結論として、P9の8~15行目に「HTTPS通信の場合,~効果が期待できないとの結論になった」と記述されています。記述のポイントを以下にまとめます。】部は指定できないブラックリストに登録するためには、登録すべきURL情報が必要です。上記のポイントからHTTPS通信ではURL情報が部分的にしか取得できないことが読み取れます。このようなことが起きるのでしょうか。HTTP通信とHTTPS通信の違いを図1、2にまとめました。HTTP通信で、クライアントがGETメソッドをHTTPリクエストとしてプロキシサーバに送信した場合を考えます。プロキシサーバはHTTPデータ内からパス名を取り出して、Webサーバへ代理でHTTPリクエストを送信します(図1)。TLS)通信の場合、プロキシサーバへはCONNECTメソッドを使用します。TLSは、通信を行う送受信端末以外には通信内容がわからないようにする目的で使用するものですが、プロキシサーバも例外ではないため、HTTP通信のような転送ができません。CONNECTメソッドは、クライアントからプロキシサーバにWebサーバとHTTPS通信を行うコネクションの確立を要求します。プロキシサーバがこの要求を許可することで、クライアントとWebサーバ間でのHTTPS通信が確立されます。HTTPS通信によりクライアントとWebサーバ間で暗号化通信が行われるため、プロキシサーバでも通信内容は把握できません。このように、ある通信を別の通信経路で覆い隠してそのまま中継することをトンネリングと呼びます(図2)。(HTTPS通信の場合)図2より、HTTPS通信の場合に指定可能なのは、ホスト部とポート番号部のみです。パス部は暗号化されたデータ内に含まれるため指定できません。(3)P10の下線部5の記述に対して、マルウェアが窃取した情報を社外に送信する方法を2つ挙げる設問です。制約条件が特にないため、色々な解答が考えられそうです。FW1を経由せずに社外へ情報を送信する方法を考えてみましょう。社外、すなわちインターネットへつながる経路を用意し、その経路を活用すればどんな手段でも構わないといえます。経路自体は、スマートフォンのテザリングやポータブルWi-Fi、無線LANのAP、リモートアクセスサーバ、USBメモリに情報格納して物理的に持ち出しなどが考えられます。これらの経路を現実的に活用する手法を解答すれば良いでしょう。無線LANのAPを攻撃者が用意し、そこにアクセスさせれば、社外に情報を送信することができます。無線LANのAPのなりすましは比較的容易にできるため、常に対策したい攻撃手法です。続いて、FW1を経由する正規のルートを通して情報を送信する手法を考えてみます。P3の表1より、社外へ情報を送信する経路には、以下の3つが考えられます。表1の項番6より、内部メールサーバから外部メールサーバへのSMTP通信が許可されている。表2の項番3と項番8より、内部IPから内部メールサーバへのSMTP通信と内部メールサーバから外部メールサーバへのSMTP通信が許可されている。HTTP/HTTPSは設問の通り。FTPが許可されており、表2の項番2より、内部IPからプロキシサーバへは代替HTTPが許可されているため、プロキシサーバ経由でFTPを用いて社外に情報を送信できる以上から、2つ挙げてみましょう。解答例は、以下の通りです。対策2は本問題では特に設問がないため、対策1の検討に関する設問といえます。】に入れる適切な字句を20文字以内で解答します。】として全ての社内PCに登録する」と記述されています。自己署名証明書とは、自分の公開鍵を証明するために、自分が保持する秘密鍵に対応する公開鍵へ電子署名して発行したディジタル証明書です。P10の図4、5より、社内PCとFW1間でTLSセッションを確立するために、FW1は秘密鍵と公開鍵のペアを作成します。この公開鍵が社内PCに搭載されれば暗号通信を確立できますが、公開鍵の改ざんや第三者による公開鍵のなりすましの恐れがあります。そこで、FW1が発行するディジタル証明書(自己署名証明書)を「信頼するルートCAのディジタル証明書」として全ての社内PCに登録することで、暗号化通信に使用された公開鍵がFW1の公開鍵であることを確認できます。従って、解答例は「信頼するCAのディジタル証明書」です。(2)P11の表5の項番1において、該当する通信の種類を40字以内で解答します。社内PCがもっているクライアント証明書に対応した秘密鍵を利用することができない」と記述されています。この記述から、外部Webサーバにクライアント証明書を用いたクライアント認証を行うことが推測できます。FW1はクライアント証明書に対応した秘密鍵を利用できないため、このような通信が制約されます。従って、解答例は「クライアント証明書の提示が必要な外部Webサーバにアクセスする」です。(3)P11の表5の項番3において、該当する通信の種類を65字以内で解答します。信頼されたルートCAのディジタル証明書としてインストールされている」と記述されています。この記述から、安全性が確認されていないCAのディジタル証明書がFW1にインストールされていないと推測できます。この場合、ディジタル証明書がインストールされていない外部Webサーバに接続しようとすると、仮に信頼できるサーバでもブラウザ上で警告が表示されます。従って、解答例は「FW1の製造元によって安全性が確認されていないCAが発行したサーバ証明書を使用した外部Webサーバにアクセスする」です。おわりに今回は平成31年度春期試験の午後II問題(設問4~6)を解説しました。LAN技術、暗号技術それぞれで詳細な知識が要求されるなど、総合力が試される問題といえるでしょう。本問で問われた各技術知識は過去の問題でもよく出題されているため、過去問題を通じて試験の性質を理解するだけでなく、過去に出題された知識・技術に関して理解を深めていくことが重要です。10月20日(日)の本番まで間もなくです。幅広くかつ正確な知識が1つでも多ければ、試験対策として大変有効です。過去問題や参考書、技術書の確認などを中心に、試験当日まで試験対策を進めましょう。皆様の試験合格を、心よりお祈り申し上げます。所属し、Linuxシステム、Webプログラミング、セキュリティの教育を担当。近年では、官公庁や重要インフラ事業者へのCSIRT要員に対して、インシデント対応の演習を展開している。ITでは、より付加価値の高いコンテンツを会員サービスとして提供しています。ITのWebサイトにログインすることでさまざまな限定特典を入手できるようになります。誠にありがとうございます。下記日程にて、メンテナンスを行います。ご理解いただけますよう、お願い申し上げます。状況により前後する場合がございます。※上記以外の会員機能(サイトへのログインなど)はご利用いただけます。VeloCloudが選ばれる理由SD-WANとはなにか。Linuxエンジニア育成への思いF5とNGINXの組み合わせで、サービス公開をよりセキュアに。ITがお届けするポッドキャストです。