平成24年度 秋期 午前Ⅱ 問12

✓ これが正解ウオリジナルIPヘッダからESPトレーラまで

解説

暗号化されるのは、オリジナルIPヘッダからESPトレーラまでです。

ESPのトンネルモードでは、元のIPパケット全体を新しいIPヘッダで包んで送ります。暗号化の対象は、元のIPパケットであるオリジナルIPヘッダ、TCPヘッダ、データと、その後ろに付くESPトレーラです。新IPヘッダは、途中のルータが転送に使うので暗号化しません。ESPヘッダには、受信側が復号に使う取決めを選ぶための情報が入っているので、これも暗号化しません。ESP認証データは、暗号化した部分を含む範囲から計算して最後に付けるもので、暗号化の対象外です。暗号化は元のパケットとトレーラ、認証はESPヘッダからトレーラまで、と範囲を分けて覚えると整理できます。

ほかの選択肢はなぜ違うのか

• アESPヘッダからESPトレーラまで：ESPヘッダは、受信側がどの取決めで復号するかを判断するために読む部分なので、暗号化されません。ESPトレーラまでという終わりは合っていますが、始まりがESPヘッダでは範囲が広すぎます。
• イTCPヘッダからESP認証データまで：トンネルモードでは、オリジナルIPヘッダも暗号化して元の宛先を隠します。また、ESP認証データは暗号化の対象外なので、TCPヘッダから認証データまでという範囲は、始まりも終わりも合っていません。
• エ新IPヘッダからESP認証データまで：新IPヘッダまで暗号化すると、途中のルータが宛先を読めず転送できなくなります。新IPヘッダ、ESPヘッダ、ESP認証データは暗号化しないので、全体を暗号化するという説明は誤りです。