第21回 第2部 第51問

NAPTを利用することにより、簡易的なファイアウォールの効果を期待できる。この理由として、もっとも適切なものを1つ選びなさい。

ａ． 外部からのパケットを、すべて特定のIPアドレスのホストに転送するため
ｂ． 外部からのパケットを、内部ネットワークとは別に設けたセグメントのホストに接続するため
ｃ． 外部からの攻撃を検知し、攻撃元からのアクセスを自動的に遮断するため
ｄ． 外部からのパケットを、変換表に登録されたIPアドレス及びポート番号に対する通信のみ内部ネットワークに転送するため

「NAPTって前にも聞いたことあるような無いような・・・。」


「NAPTの基本的な機能は覚えてるかな？」


「えっと・・・複数のＰＣをインターネットにつなぐ時に、各ＰＣのプライベートIPアドレスを一つのグローバルIPアドレスに変換するんだっけ？」

「そうだよ！よく覚えていたね。今回の設問はその応用編になるんだ。」
「まずNAPT機能が備わっている機械っていうと何か分かるかな？」


「ルーターだよね？」


「そう！ルーターには変換表というものが中に入っていてその変換表を元に外部から来たパケットを内部に転送するかどうか決める決定権があるんだ！」

「変換表がどんなふうになっているのか、もっとイメージしやすく教えてー。」



～～～～～～～～～～～～～～～～～～～～～～

「良いだろう。」
「まずは、前提として、LANの内側にはＰＣが複数あるという事をしっかりイメージしておいてね。」

「それぞれのＰＣには、別々なプライベートIPアドレスが設定されているんだよね。」


「そうだね。でもプライベートIPアドレスじゃインターネット上のサーバーや端末とは通信できないから、グローバルIPアドレスが必要だ。」

「ルーターのWAN側アドレスに一旦変換されるんだよね。」


「よく知ってるじゃないか。」
「でも複数のPCが同時に通信していて、しかもそれぞれのPCで同じサイトを見たらどうなるかな？」

「う～ん、サーバーから返ってくるデータはルーターのＷＡＮ側アドレスに向けて返ってくるから、ＬＡＮ内部のどのＰＣにデータを渡せば良いかルーターが困っちゃうね。」

「だからＩＰアドレスの変換だけじゃなくて、ポートも利用して管理テーブルに記録するんだ。それが変換表なんだ。」

「だんだん、具体的になってきたね。」


「たとえば『ＰＣ①のｗｅｂブラウザ』はプライベートＩＰアドレス①のポート①でデータが返ってくるのを待っていて、『ＰＣ②のブラウザ』はプライベートアドレス②のポート②でデータが返ってくるのを待っているとするよね。」
「ルーターでは、それぞれのＩＰアドレスをルーターのＷＡＮ側のＩＰアドレスに変換して、更にポートの番号も任意のポート番号に変換しちゃうんだ。」
「そして、それを変換表に記録する。ここ重要ね。」

「記録してないと後で困るんだね。」


「たとえば、さっきの例だとＰＣ①のプライベートＩＰアドレス①とポート①はルーターのＷＡＮ側ＩＰアドレスとルーターのポート③に、ＰＣ②のプライベートアドレス②とポート②はルーターのＷＡＮ側ＩＰアドレスとルーターのポート④に。」

「へぇ～、跡形もなく変わっちゃうんだね。」


「跡形もなく変えちゃうか、重複しない限りは極力変えないかはルーターの機種によって違うらしいけど、まぁここでは分かりやすくガラっと変えちゃうとしよう。」
「でも変換表には、こういう内容で変換しましたってのが記録されているから、サーバーからルーターのポート③にデータが返ってくれば、変換表から逆にたどって、これがＰＣ①のポート①に返せば良い事がわかるんだ。」

「なるほど～、それで無事ＰＣ①のブラウザにデータが届くんだね。」


「ウラを返せば、この変換表に乗ってないポート宛てに外部から通信が来ても通さないんだ。」

「それが簡易ファイアウォールの効果って事？」


「そうだね。ファイアウォールは簡単に言うとＰＣとインターネットの間に設置される外部からの侵入者（不正パケット）を防ぐ仕組みの事だけど、ＮＡＰＴ機能でも万全ではないにしてもある程度は不正に入ってこようとするパケットを防げるって事だね。」

「なるほど！じゃあｄは正解なんだね！」


「そうだね！」



～～～～～～～～～～～～～～～～～～～～～～


「この他に外部から入ってくる通信にＬＡＮ内のＰＣをさらさないようにする簡易DMZという機能もちょっと説明しておこう。」

「また難しい名前が出てきた・・・。」


「ははは。詳しいことを説明すると混乱するだろうから簡単に説明すると、簡易DMZは外部から入ってくるパケットを特定のホストに転送をする仕組みなんだ。」

「そうすると、どうなるの？」


「外からは転送先のホスト（公開用のサーバーとか）だけが見えるようになるんだ。」
「クレーマーからの電話は全て本社の担当者に転送するみたいな感じだね。」

「選択肢の ａ で言ってるのは、これのことかぁ～。」



「ただし、『簡易』とついていることからもわかるように、本格的なＤＭＺとはちょっと違ってね。」
「本格的なＤＭＺはＬＡＮ内部とインターネットの中間に設置されて、ＬＡＮ内部とも独立した空間になるんだけど、簡易ＤＭＺの方はＬＡＮ内部の特定のホストを公開しちゃうので、そのホストが乗っ取られるとＬＡＮ内の全てのホストが危険にさらされる可能性もあるんだ。」

「え～！？じゃあセキュリティ関しては特に注意が必要だね。」


「ちなみに、簡易ＤＭＺで可能なのは選択肢ａ,ｂだけどｃの選択肢に攻撃検知機能という言葉もあるね。」

「うわー！またわからない用語がでてきたぁ・・・。」


「一度に言うと分からなくなるだろうから今日はここまでにしよう！攻撃検知機能については過去問の解説にも説明があるからよく読んでおくように！」


「わかりました～。」






【 第21回 第2部 第51問 解答＆解説 】
［解答］d
［解説］
ａ． 誤り。簡易DMZ機能の説明である。
ｂ． 誤り。簡易DMZ機能の説明である。
ｃ． 誤り。攻撃検知機能の説明である。
ｄ． 正しい。NAPTによる簡易ファイアウォール機能の説明である。NAPT有効時には、変換表に登録されているポート以外への外部からのアクセスは、内部ネットワークに転送されない。

第21回 第2部 第60問

受信する迷惑メールを増やさない方法として、適切なものを2つ選びなさい。

ａ． 信頼できないサイトで懸賞等に応募しない。
ｂ． 受信した迷惑メールに記載されている手順に従い、配信停止の設定を行う。
ｃ． Webサイトにメールアドレスを公開するときは、メールアドレスをテキストデータではなく画像で表示する。
ｄ． メールサーバの認証用パスワードを頻繁に更新する。
ｅ． POP before SMTPを利用する。




「迷惑メールってあるとき突然入ってくるよね～嫌だなぁ・・・。」


「そうだね。でもね、いきなり入ってくるときもあるけどほとんどの場合がなにかしら自分で事前になにかに登録したりとかアクションを起こしている場合がほとんなんだよ。」

「へ～そうなんだ。じゃあ選択肢 ａ なんてもっての他だね。」


「そうだね。信頼できないサイトに登録なんてもっての他だね。」


「でも ｂ は配信停止の設定だから従ったほうが良くない？」


「コムたろうくん。それにだまされちゃいかんぞ！」
「迷惑メールを送信してくるような悪いヤツが、そんな素直に配信停止すると思うかい？」
「むしろ、自分のメールアドレスが実際に生きているものだって相手に知らせる事になって、余計に迷惑メールが増えるよ。」

「ひぇ～、あぶないあぶない。見知らぬメールに返信なんかするもんじゃないね！」


「ｃ の選択肢だけど、自分のアドレスをweb上に乗せること自体危険な行為なんだけど、仕事とかでどうしても公開せざるを得ない場合もあるよね。」
「そういう時も、そのまま乗せちゃうメールアドレスをweb上から自動収集するボットに盗まれる可能性があるから対策が必要だね。」

「世の中物騒なんだね・・・。」


「自分の情報は自分で守るのが賢いインターネット利用者だよ！」
「だから自分のアドレスを公開したい場合はメールアドレスを画像にして表示させたり『＠』を『アット』などと自動収集のボットが反応しないようにちょっとひねりを入れるんだ。」

「わかりました！」


「残るはｄ,ｅだけど ｄ は自分がメールを送受信する際にメールサーバとの認証に使うものなので、勝手に送りつけられてくる迷惑メールの対策にはならない。」
「ｅ のPOP before SMTPはSMTP自体に認証が機能がないため、POPの認証を一定時間利用することで、メールの送信を可能にするものであるからこれも迷惑メールの対策にはならないよ。」

「そっかぁ。じゃ答えは ａ と ｃ だね！」


「そうだよ！迷惑メール対策はこういった知識を最低でも持っている事が大切だからよく覚えておくんだよ。」

「はい！迷惑メール対策これくらいだったら簡単なのでよく覚えておきまーす。」







【 第21回 第2部 第60問 解答＆解説 】
［解答］ａ．ｃ．
［解説］
ａ． 適切。迷惑メールを受け取らないようにするために自分のメールアドレスを部外に容易に知らせないことが必要であり、信頼できないサイトなどでの懸賞等の応募は避けるべきである。
ｂ． 不適切。配信停止の設定を実施するということは、実在するメールアドレスであることを相手に知らせることとなってしまう。
ｃ． 適切。メールアドレスをWeb上等に公開する場合には、画像として登録したり、abeアットマークyahoo.co.jpのようにメールアドレスとして判断されないような記述にすることが肝要である。
ｄ． 不適切。メールサーバの認証用のパスワード変更は迷惑メールを増やさない対策にはならない。
ｅ． 不適切。POP before SMTPはSMTP自体に認証が機能がないため、POPの認証を一定時間利用することで、メールの送信を可能にするものである。

第19回 第2部 第60問

以下は、Windowsメールのセキュリティ設定に関する画面である。図中の①、②はどのプロトコルと関係するか、下の選択肢からそれぞれ１つずつ選びなさい。



a. SMTPS　　　　b. SMTP Auth　　　　　　　　c. POPS
d. APOP　　　　　e. POP before SMTP  　　 f. IMAP

「この問題も6月の模擬試験で誤回答が多かった問題だよ。」


「メールのセキュリティの問題だね。」
「メールのプロトコルって、SMTPやPOPでしょ？選択肢にはこの2つが無いけどなんでだろ？」

「メールの送受信に使われているSMTP（送信）やPOP（受信）には基本的にセキュリティに関する機能を備えていないんだよ。」

「えっ？そうだったの？あぶな～い！」


「うん、送信時のなりすましや受信の際のパスワードといった認証情報の盗聴など、色んな危険性が問題視されるようになったから、SMTPやPOPではなく、セキュリティ機能を備えたメールのプロトコルを各ISPが利用するようになったんだよ。」

「そうか、安全にメールをやりとりしたいもんね。しょうがないよね。」


「その通り！」
「では、まず①の状況を確認してみようか？」

「送信メールサーバの設定箇所だよね。」
「このサーバは認証が必要・・・あれ？送信の際に使うプロトコルってSMTPだよね？」

「以前はね。」


「SMTPって、送信時に認証しないでメールが転送できる仕組みじゃなかったっけ？」


「良く覚えていたね。その通りだよ。だけど、その認証を行わないという点がなりすましのリスクを高めるから、最近では送信時でも認証をするのが、一般的なんだ。」

「へぇ～そうなんだ。」


「『認証』という言葉に着目しようか。」
「この『認証』っていう言葉を英語に直すと『Authentication』になるんだよ。」

「『Authentication』って長いね。カミカミになっちゃうよ。」


「だから、インターネットの世界では、『認証』を意味する言葉の省略形として『Auth』という言葉を使うんだよ。」

「だったら、①の正解は『ｂ.』になるね！」


「そっ、意外と簡単でしょ？」


「でもさ、確か『ｅ．』の『POP before SMTP』っていうのも認証を利用していなかったっけ？」

「SMTP（送信）する前にPOP（受信）しようという認証方式だよね。」
「これはPOP（受信）ではパスワードを使って認証してメールを受信するから、受信できた＝メールサーバに認証されたということで、その後一定期間だけ送信要求があった場合、送信を許可するというものだね。」

「メールのセキュリティを高めるには『ｅ．』じゃだめなの？」


「ダメって訳じゃないけど、受信した後、数分程度しか送信できないのも不便だし、送信前にPOPで受信できたからって、SMTP（送信）が正規のユーザーから送られたものかどうかを確かめる手段はないんだよ。」
「だから、今では送信時にユーザ認証を行う『ｂ．』が送信の際の認証としては普及しているね。」

「そうなんだ～。」

「では、次に②を見てみようか？」
「詳細設定タブの『送信メール』の部分だね。」
「ここの、ポイントは『セキュリティで保護された接続（SSL）が必要』という部分だよ。」

「SSL？」


「SSLは公開鍵暗号や秘密鍵暗号、デジタル証明書、ハッシュ関数を組み合わせて利用するデータ自体を暗号化する仕組みだよ。」

「データ自体を暗号化？」


「うん、認証には一般的にはパスワードを利用するでしょ？」


「パスワードがあっていれば、正規のユーザーだよね？」


「でも、悪い人はこのパスワードを通信途中で盗み見してしまう場合もあるんだよ。」


「えっ！？じゃあ、パスワードを使った認証だって安全じゃないじゃない！」


「そこで、SSL！」
「SSLでパスワードやメールの内容を暗号化することで、通信途中での盗み見（スニファリング）を防止するんだよ。」

「パスワードだけじゃなくって、メールそのものまで暗号化されるなら、盗み見られなくて安心だね♪。」

「SSLはいろんなプロトコルと組み合わされて利用することが多いんだよ。」
「その場合、たいていは元々利用されているプロトコル名の末尾に『S』が付くよ。」

「・・・あれ？じゃあひょっとして、②の正解は送信のSMTPとSSLを足した『ａ．』？」


「よく解ったね！その通りだよ。」
「②の下にある受信メールの『セキュリティで保護された接続（SSL）が必要』にはチェックが入っていないよね。」

「そうだね。」


「もしも、ここにチェックが入っていた場合は、POPとSSLを組み合わせた『POPS』というプロトコルを利用しているということになるんだよ。」

「POP＋SSLだからPOPS・・・末尾の『S』は『SSL』を指しているんだ！」


「うん、そうやって覚えていけばいいからね。」


「確かに！これなら大丈夫☆。」

【 第19回 第2部 第60問 解答＆解説 】
［解答］　①－ｂ，②－ａ
［解説］
① 送信メールサーバに対する認証行為なので、SMTP Ａｕｔｈが該当する。
② 送信メールサーバにアクセスする際にSSLを利用するので、SMTPSが該当する。

第20回 第2部 第51問

次の図は、ハッシュ関数を使ったユーザ認証の概念を示したものである。図中のア～ウに入る単語の組み合わせとして正しいものを、下の表から1 つ選びなさい。

「この問題は難しそうだな～～」


「そのようだね。この問題は間違える人が多いのだ。しっかり覚えてよー。」
「ハッシュ関数を使った認証と言えば、チャレンジ・レスポンス方式がメジャーだね。」
「今回のもそうだよ。」

「まず最初の（ア）は図から読み取るとユーザ認証でIDと一緒に入力するといえばパスワード（PW）だよね？」

「そのとおり！グーグルやヤフーなど様々なサイトでログイン時にIDとPWを入力するユーザ認証が使われているね。」

「だとすると（ア）がＰＷなのは・・・ a. か e. てことになるね。」


「冴えているね、コムたろう君。そのとおりだ！」


「今日は調子いいんだ。でも次はわかんないなー。」


「次はサーバ側を見てみよう！IDを受け取ったサーバーはランダムな文字列（チャレンジ値）をその都度生成してクライアントへ送信する。これが（イ）だね。」

「クライアントは受け取ったそのチャレンジ値をどうするの？」


「PWとチャレンジ値をハッシュ関数に混ぜ込んでハッシュ値というものを作成し、サーバーへ返信するんだよ。」
「ちなみにチャレンジ・レスポンス方式認証ではこのハッシュ値をレスポンス値と呼ぶんだ。」

「ふむふむ。」
「それからどうなるの？」

「サーバーに届いたレスポンス値とサーバー側でクライアントと同様の処理をし、生成されたデータ（ハッシュ値）を比較して一致するかどうかを調べるんだ。」

「一致したらＰＷは合っているという事で、ログインできるんだね。」


「おさらいをすると次のようになるよ。」
「①ユーザーがＩＤをサーバーへ送信してログインしたがっている事を知らせる。」
「②サーバーからユーザーに対してランダムな値（これをチャレンジ値という）を送信する。」
「③このチャレンジ値をユーザーがＰＷと一緒にハッシュ関数に放り込んで、出てきたハッシュ値をサーバーへ返す（これをレスポンス値という）。」
「④サーバーでも同じ様にチャレンジ値とＰＷをハッシュ関数に入れて、計算結果をユーザーから返ってきたレスポンス値と比べる。」
「⑤比べてみて同じなら認証ＯＫ」

【 第20回 第2部 第51問 解答＆解説 】
［解答］　ｅ．
［解説］
盗聴からパスワードの漏洩を防ぐ方法として、パスワードをハッシュ化して送信する認証方式がある。
この認証方式では・・・
　・クライアントからサーバにランダムな文字列（チャレンジ値）の作成と送信を要求する。

　・クライアントでは、受け取ったチャレンジ値（イ．）とパスワード（ア．）を組み合わせたものからハッシュ値を生成し、それをサーバに送信する。

　・この送信情報をレスポンス値などと呼ぶ（ウ．）。

　・サーバ側でもクライアントと同様の処理をし、生成されたデータとレスポンス値を突き合わせることで、パスワードが一致するかどうかが調べられる。

　・このような認証方式を「チャレンジ・レスポンス方式」と呼ぶ。

この方式では、ネットワークに流されるのはハッシュ値だけなので、パスワードを盗み取られる恐れがない。
また、チャレンジ値をかえることで、同一のバスワードであってもハッシュ値が毎回変化するので、ハッシュ値を盗聴されても悪用される危険も少ない。
チャレンジ・レスポンス方式は、SMTP AuthやAPOP、CHAPなどで使われている。

第21回 第2部 第47問

トロイの木馬と呼ばれる不正プログラムの説明として、もっとも適切なものを1つ選びなさい。

ａ． ネットワーク上の他のPCに自分の複製を送り込んで感染させる。
ｂ． 外部からPCに不正なアクセスを繰り返して管理者権限を奪取する。
ｃ． 正しい動作を行っている正規のプログラムのように見せかけて不正行為を行う。
ｄ． ユーザが意図しないポップアップ広告を表示する。

「トロイの木馬！？」


「トロイの木馬というのは正しい動作を行っている正規のプログラムのように見せかけ、裏でパスワードなどの機密情報を送信するといった不正な動作をするプログラムだよ。ウイルスやワームを介して広がることが多いんだ。」

「なるほど！ウィルスやワームってワームもウィルスじゃないの？」


「ウィルスの一部ではあるけどワームはウィルスほど他のプログラムに寄生するわけではなく単独で活動する点や、簡易的なプログラムで作られていてウィルスとは区別される場合が多いんだよ。ちなみにワームは他のコンピュータへ自己を複製（コピー）し続けて行く不正プログラムだよ。」

「ワームは自分をひたすら増やしていくんだね。ちなみに選択肢ｄのポップアップってなにー？」

「インターネットを使っていて見たい画面を開くと、それとは別にもう一つ画面が自動で立ち上がったりしたことは無いかな？」

「ある～。あれがポップアップ？」


「そうだよ。よく広告に使われるんだ。そして広告を表示するプログラムをアドウェアと呼ぶんだ。」
「ちなみにアドってのは広告って意味だよ。」

「ふーん。たくさんあるんだね。」


「純粋なアドウェアのみであれば危険性はないけど、アドウェアの中には個人情報を盗んだりするものもあり、Webブラウザの履歴やメールアドレスなどが漏洩する場合もあるから覚えておくように！」

「わかりましたー。」






【 第21回 第2部 第47問 解答＆解説 】
［解答］c
［解説］
ａ． 不適切。ワームの説明である。
ｂ． 不適切。パスワード攻撃の説明である。
ｃ． 適切。トロイの木馬の説明である。
ｄ． 不適切。アドウェアの説明である。