0コメント

デジタル署名・PKI・TLSを完全攻略｜応用情報技術者試験「セキュリティ」徹底解説

【完全網羅】デジタル署名・PKI・ネットワークセキュリティ徹底解説｜応用情報技術者試験対策

🛡️【記述対策】デジタル署名の鍵はどれ？WAFの設置場所は？試験に出る「正解」を総まとめ

情報処理技術者試験（応用情報レベル）で必須となるセキュリティ技術を、基礎から実装まで網羅的に解説します。単なる用語暗記ではなく「なぜその技術が必要か」を理解しましょう。



🚀 応用情報技術者試験：セキュリティ分野攻略のポイント

情報処理技術者試験の中で、最も得点源にすべきでありながら、最新の攻撃手法や実装技術への深い理解が求められるのが「セキュリティ」分野です。本記事では、試験頻出の重要キーワードから、合否を分ける午後試験の記述対策まで、網羅的に解説します。

🔑 登場する重要用語の全体像
  • 認証技術： デジタル署名、PKI、認証局（CA）、CRL/OCSP
  • 通信プロトコル： TLS 1.3、IPsec（トンネル/トランスポート）、IKE
  • 境界防御： ステートフルFW、WAF、リバースプロキシ、DMZ
  • 監視・対策： IDS/IPS、UTM、EDR、SIEM、ハニーポット

📝 午後試験での出題傾向と対策

応用情報の午後試験では、「図中の空きスペースに適切な装置名を入れる」「通信のシーケンス（流れ）を追って脆弱性を指摘する」といった形式が定番です。 特に、以下の3点は「記述式」で狙われやすいポイントです：

  • 鍵の使い分け： 「誰の公開鍵で検証し、誰の秘密鍵で署名するか」を論理的に説明できるか。
  • 設置位置の妥当性： WAFやIDSをネットワークのどの位置に置くべきか、その理由は何か（復号のタイミング等）。
  • ログの相関分析： FWやプロキシのログから、攻撃（SQLiやOSコマンド等）の痕跡をどう特定するか。

💡 それでは、各技術の深い仕組みと「試験で問われるポイント」を詳しく見ていきましょう。



1. デジタル署名とPKI（公開鍵基盤）

8.4.1 デジタル署名の仕組み ✍️

デジタル署名は、公開鍵暗号技術を応用し、電子文書の「作成者の証明」と「改ざんの有無」を確認する技術です。

  • 本人確認： 署名者の秘密鍵で作成するため、なりすましを防ぐ。
  • 改ざん検知： 文書が1ビットでも修正されれば検証に失敗する。
  • 否認防止： JIS Q 27000で定義。「送っていない」という事後否認を防止。
💡 メッセージダイジェスト（ハッシュ値）の活用
長い平文をそのまま暗号化すると計算負荷が高く、署名サイズも大きくなります。そのため、ハッシュ関数（SHA-256等）で固定長のメッセージダイジェスト（MD）を生成し、それに対して署名を行うのが一般的です。

8.4.2 PKI（公開鍵基盤）と認証局 🏛️

「この公開鍵は本当にAさんのものか？」を第三者が保証する仕組みがPKIです。

  • 認証局 (CA)： デジタル証明書を発行し、公開鍵の真正性を証明する。
    • RA (登録局)： 本人確認と申請受付。
    • IA (発行局)： 証明書の発行。
    • VA (検証局)： 失効情報の問い合わせ対応。
  • 証明書の失効 (CRL / OCSP)： 有効期限内でも、秘密鍵漏洩時に無効化する必要があります。CRL（証明書失効リスト）をダウンロードするか、OCSPでリアルタイムに問い合わせます。

2. SSL/TLS：通信の暗号化プロトコル

8.5.1 SSL/TLSハンドシェイク 🤝

HTTP等の上位プロトコルを安全にする技術です。現在はTLS 1.2/1.3が主流です。

🌐 具体的な使用状況：
Webブラウザで「https://」から始まるサイトにアクセスした際、裏側で自動的にTLSハンドシェイクが行われ、クレカ情報やパスワードが暗号化されます。
証明書の種類 内容
DV (ドメイン認証) ドメインの使用権のみ確認。安価で迅速。
OV (組織認証) 企業の法的実在性を確認。信頼性が高い。
EV (実在性認証) 最も厳格な審査。ブラウザで運営組織名が確認可能。

3. ネットワーク防御の鉄壁構成

ファイアウォールとDMZ 🧱

ネットワークの境界に設置し、パケットをフィルタリングします。

  • パケットフィルタリング： IPアドレスやポート番号で制御。
    • スタティック： 固定ルール。
    • ダイナミック： 通信の文脈（シーケンス番号等）を判断して動的に許可（ステートフルインスペクション）。
  • DMZ (非武装地帯)： 外部公開サーバ（Web/Mail/DNS）を置く第3のエリア。

WAF (Web Application Firewall) と防御製品 🛡️

WAFはSQLインジェクション等のWebアプリ特有の攻撃を防ぎます。

⚠️ 設置位置の注意（試験頻出）
HTTPS通信の場合、WAFは通信内容を検査するために、TLSアクセラレータ（復号器）の後ろに設置する必要があります。
製品名 役割
IDS / IPS 侵入検知 / 侵入防止。ネットワークの異常を監視。
UTM FW、IPS、アンチウイルス等を1台に統合管理。
EDR 端末（エンドポイント）内の不審挙動を監視。感染後の初動対応に特化。
SIEM 各種ログを相関分析し、高度な脅威を発見する。

4. VPN（仮想専用線）の実現

インターネット上に安全なトンネルを作る技術です。IPsecが代表的です。

  • トンネルモード： 元のパケットごと暗号化。拠点間（本社ー支店）接続に利用。
  • トランスポートモード： データ部分のみ暗号化。端末間接続に利用。
  • IKE (Internet Key Exchange)： 暗号化アルゴリズムの決定と鍵交換を行うフェーズ。
🏠 具体的な使用状況：
テレワーク時に、自宅のPCから会社の社内システムに安全にアクセスする際、VPN（SSL-VPNやIPsec）が利用されます。

✅ まとめ：応用情報突破のポイント

  • デジタル署名： 「送信者の秘密鍵で署名 → 送信者の公開鍵で検証」の流れを完璧に。
  • PKI： CAが公開鍵の持ち主を保証する。失効確認はCRLかOCSP。
  • TLS： ハンドシェイクで「認証」「アルゴリズム決定」「共通鍵共有」を行う。
  • 防御： WAFはアプリ層、IPSはNW層。WAFの設置場所は復号の後。
  • VPN： トンネルモード（拠点間）とトランスポートモード（端末間）の違いを意識。


🎓 おわりに：試験合格の先にある「実践力」へ

ここまで、デジタル署名からPKI、そして最新のネットワークセキュリティまで網羅的に学習してきました。お疲れ様でした！最後に、応用情報技術者試験の「午後問題」を突破するための背景知識と、今後の学習のヒントを整理しましょう。

⚠️ 出題の「背景」を読む
近年、午後試験では単一の製品（FWだけなど）ではなく、「ゼロトラスト」の考え方に基づき、EDRやSIEM、多要素認証を組み合わせた多層防御のシナリオが主流です。「なぜWAFだけでなくIPSも必要なのか？」といった、製品ごとの守備範囲の違いが問われます。
🛠️ 実務へのつながり
今回学んだ「証明書の失効確認(CRL/OCSP)」や「TLSのバージョン」は、実務でのトラブルシューティングでも直結する知識です。試験勉強を「暗記」で終わらせず、パケットがどう流れているかを想像する癖をつけるのが合格への近道です。

🌟 試験直前のあなたへ：

セキュリティ分野は、一度仕組みを理解してしまえば、午後問題において安定した得点源になります。本記事で紹介した「鍵の使い分け」と「装置の配置場所」さえマスターすれば、合格ラインの60％はすぐそこです。

あなたの合格を心より応援しています！🎯



🧠 セキュリティ重要用語フラッシュカード（全20問）

マウスを乗せるかタップして回答をチェック！

デジタル署名
作成者の証明と改ざん検知を行う。否認防止にも有効。
メッセージダイジェスト
平文をハッシュ関数で固定長にしたもの。署名対象。
SHA-256
SHA-2ファミリーの一つ。現在の主流ハッシュアルゴリズム。
否認防止
「送っていない」等の事後否認をデジタル署名で防ぐこと。
認証局 (CA)
公開鍵の真正性を保証し、デジタル証明書を発行する第三者機関。
CRL
証明書失効リスト。失効した証明書のシリアル番号一覧。
OCSP
証明書の失効状態をリアルタイムで確認するプロトコル。
RA (登録局)
CAの一部門。申請者の本人確認と審査を行う。
TLSハンドシェイク
認証、暗号方式の決定、共通鍵の共有を行う手順。
EV証明書
最も厳格な審査を経て発行される最高位のサーバ証明書。
DMZ
外部公開サーバを隔離配置する「非武装地帯」。
ステートフルインスペクション
通信の文脈を判断し、戻りパケットを動的に許可する方式。
WAF
Webアプリ層への攻撃（SQLi、XSS）を検知・遮断する。
リバースプロキシ
外部リクエストを内部サーバへ中継。サーバの隠蔽が可能。
IDS / IPS
侵入検知(IDS)と侵入防止(IPS)。NW上の不正を監視。
UTM
FW、IPS、ウイルス対策等を一台に集約した統合管理装置。
EDR
エンドポイント（PC等）のログを監視。感染後の対処を迅速化。
IPsec
ネットワーク層で暗号化を実現。VPN構築に多用。
トンネルモード
元のIPヘッダごと暗号化。拠点間VPNで利用。
フォールスポジティブ
「誤検知」。正常な通信を不正と判断してしまうこと。


⚠️ 【実力診断】ひっかけ注意！一問一答テスト

クリック・タップで「正解」と「ひっかけの理由」を表示します。

Q1. デジタル署名の検証に使う鍵は、送信者の「秘密鍵」である？
【正解】 ×（送信者の「公開鍵」を使う） ここに注意！ 署名を作る（暗号化する）のが「秘密鍵」、誰でも検証できるようにするのが「公開鍵」です。逆にするひっかけが超定番です。
Q2. WAFは「暗号化されたHTTPS通信」をそのまま詳細に検査できる？
【正解】 ×（復号しないと検査できない） ここに注意！ WAFは通信の中身（ペイロード）を見るため、暗号化されたままだと中身が分かりません。必ずTLSアクセラレータ等で復号した後に設置する必要があります。
Q3. メッセージダイジェスト（ハッシュ値）から、元の平文を復元できる？
【正解】 ×（復元は不可能） ここに注意！ ハッシュ関数は「不可逆性」が特徴です。署名の検証は「復元」ではなく、計算し直したハッシュ値との「比較」で行います。
Q4. VPNの「トランスポートモード」は、IPヘッダも暗号化される？
【正解】 ×（データ部分のみ暗号化） ここに注意！ IPヘッダごと包み込む（カプセル化）のは「トンネルモード」です。トランスポートモードは元のIPヘッダがそのまま見えるため、宛先が分かってしまいます。
Q5. OCSPを利用する際、クライアントは巨大な失効リスト全体を保持する必要がある？
【正解】 ×（対象のシリアル番号だけ問い合わせる） ここに注意！ リスト全体をダウンロードするのは「CRL方式」です。OCSPは必要な分だけ都度問い合わせるため、通信量や負荷が抑えられます。
全問正解できましたか？間違えた部分は「仕組み」を再確認しましょう！


📖 徹底網羅：重要キーワード用語事典（完全版）

【デジタル署名・PKI（公開鍵基盤）】
  • デジタル署名： 送信者の秘密鍵で生成し、受信者が送信者の公開鍵で検証する。本人確認と改ざん検知を実現。
  • 否認防止： JIS Q 27000で定義。「主張された事象やそれを引き起こしたエンティティを証明する能力」。事後の言い逃れを防ぐ。
  • 秘密鍵（署名鍵）： 署名者が厳重に管理する鍵。署名の生成（暗号化）に使用する。
  • 公開鍵（検証鍵）： 全般に公開する鍵。署名の正当性検証（復号）に使用する。
  • ハッシュ関数： 任意の長さのデータを固定長のビット列に変換する。不可逆性と衝突困難性が特徴。
  • MD5： 128ビットのハッシュ値を生成。現在は安全性の懸念から利用が控えられる。
  • SHA-1： 160ビットのハッシュ値を生成。SHAシリーズの初期規格。
  • SHA-2： 試験頻出。SHA-224/256/384/512の総称。現在はSHA-256の利用が一般的。
  • SHA-3： SHA-2の代替として開発された、異なるアルゴリズム（Keccak）を採用した規格。
  • メッセージダイジェスト (MD)： ハッシュ関数によって得られた要約データ。デジタル署名の対象となる。
  • PKI (公開鍵基盤)： 公開鍵の真正性を第三者機関が証明するための体系（方式、システム、ポリシー）。
  • 認証局 (CA)： 公開鍵証明書を発行し、その公開鍵が本人のものであると保証する第三者機関。
  • RA (登録局)： 証明書の登録申請・失効申請を受け付け、審査を行う機関。
  • IA (発行局)： RAの依頼に基づき、証明書の発行や失効処理を技術的に行う機関。
  • VA (検証局)： 証明書の有効性をリアルタイムで確認・応答する機関。
  • デジタル証明書（公開鍵証明書）： 公開鍵、所有者情報にCAのデジタル署名を付与したもの。
  • X.509： デジタル証明書とCRLの記述形式を定めたITU-T勧告。
  • CP (Certificate Policy)： 証明書の利用目的や用途を定めたポリシ。
  • CPS (Certification Practice Statement)： 認証局の運用規定・実施規定。
  • プライベートCA： 社内LANなど特定の範囲で利用するために、独自に構築した認証局。
  • CRL (証明書失効リスト)： 有効期限内に無効化された証明書のシリアル番号リスト。
  • OCSP： 証明書の失効情報をリアルタイムで確認するためのプロトコル。
【SSL/TLS・Webセキュリティ】
  • SSL/TLS： 通信の暗号化、改ざん検出、サーバ認証を提供するプロトコル。現在はTLSが主流。
  • TLSハンドシェイク： 通信路を構築するステップ。サーバ認証、アルゴリズム決定、共通鍵共有を行う。
  • MAC (Message Authentication Code)： データと秘密の鍵から計算される認証符号。改ざん検出に使用。
  • DV証明書： ドメインの使用権のみを確認。低コストで発行が早い。
  • OV証明書： 組織の法的実在性を確認。ドメイン保有以上の信頼性。
  • EV証明書： 最も厳格な審査を経て発行。ブラウザのアドレスバーで組織名を確認可能。
  • クライアント証明書： サーバが接続側のクライアントを識別・認証するために使用する証明書。
  • TLSアクセラレータ： 暗号化・復号処理を専門に行い、WebサーバのCPU負荷を軽減する装置。
  • WAF (Web Application Firewall)： アプリケーション層（HTTPリクエスト）を検査し、SQLi等を防ぐ。
  • ホワイトリスト方式： 「許可するもの」を定義し、それ以外を全て遮断する（安全重視）。
  • ブラックリスト方式： 「拒否するもの（攻撃パターン）」を定義し、それ以外を通過させる。
【ネットワーク防御・セキュリティ製品】
  • ファイアウォール (FW)： ネットワーク境界で不正データの通過を阻止する。
  • DMZ (非武装地帯)： 公開サーバ（Web, Mail, DNS等）を設置する第3のエリア。
  • パケットフィルタリング型： IPアドレスやポート番号に基づきパケット単位で検査する。
  • スタティックパケットフィルタリング： 固定的なルール（ルールベース）に従って一律に検査。
  • ダイナミックパケットフィルタリング： 通信状況を動的に判断（ステートフルインスペクション）。
  • アプリケーションゲートウェイ型： アプリケーションプロトコル（HTTP, SMTP等）レベルで詳細に検査。
  • プロキシサーバ： クライアントの通信を代理（中継）。キャッシュ機能による高速化も可能。
  • リバースプロキシ： 外部からのアクセスをWebサーバの代わりに受け、内部へ中継。サーバ隠蔽に寄与。
  • IDS (侵入検知システム)： 不正アクセスを「検知・通知」する。N（ネットワーク）型とH（ホスト）型がある。
  • IPS (侵入防止システム)： 検知に加えて、不正な通信をリアルタイムに「遮断」する。
  • UTM (統合脅威管理)： FW, IPS, アンチウイルス等を一台に集約し統合的に管理。
  • EDR： PCやサーバ（エンドポイント）の挙動を監視し、感染後の初動対応を支援。
  • ハニーポット： 攻撃を誘い込み、攻撃手法やログを収集するためのおとりシステム。
  • SIEM： ネットワーク機器やサーバのログを一元管理・相関分析して脅威を発見する。
  • シグネチャ方式： 既知の攻撃パターンと一致するかどうかで不正を判断する。
  • アノマリー方式： 「正常な挙動」を定義し、そこから逸脱したものを異常と見なす（未知の攻撃に有効）。
  • フォールスポジティブ： 正常な通信を不正と誤検知すること。
  • フォールスネガティブ： 不正な通信を見逃すこと（検知漏れ）。
【VPN（仮想専用線）・プロトコル】
  • VPN (Virtual Private Network)： 共有回線を仮想的な専用線のように使う技術。
  • IP-VPN： 通信事業者の閉域IP網を利用。MPLS技術を使用することが多い。
  • インターネットVPN： 公衆インターネットを利用し、安価にVPNを構築。
  • MPLS： ラベルを用いてパケットを転送する技術。IPアドレスに依存しないルーティング。
  • IPsec： ネットワーク層で暗号化・認証を行う。AHとESPのプロトコルがある。
  • AH (Authentication Header)： 認証と改ざん検知のみを行う（暗号化はしない）。
  • ESP (Encapsulating Security Payload)： 認証に加え、データの暗号化も行う。
  • トランスポートモード： ペイロードのみを暗号化。端末同士の通信に使用。
  • トンネルモード： IPパケット全体を暗号化（カプセル化）。拠点間のVPNゲートウェイ間で利用。
  • IKE (Internet Key Exchange)： IPsec通信に先立ち、暗号化方式の決定や鍵交換を行う手順。
  • PPTP / L2TP： データリンク層でのトンネリングプロトコル。L2TPは暗号化がないためIPsecを併用。
  • SSL-VPN： SSL/TLSを利用してVPNを構築。ブラウザのみで利用可能な場合も多い。

※各用語をクリックすると詳細な定義が表示されます。



© 2026 Security Master Guide - 応用情報技術者試験対策

この記事へのコメント

コメントを書く