平成28年度 秋期 午前Ⅱ 問7

✓ これが正解ウオリジナル IP ヘッダから ESP トレーラまで

解説

元の IP ヘッダから ESP トレーラまでが暗号化されます。

ESP トンネルモードでは、元の IP パケットをまるごと ESP で包み、その外側に新しい IP ヘッダを付けて送ります。暗号化の対象は、元のパケット全体（オリジナル IP ヘッダ、TCP ヘッダ、データ）と、末尾に付ける ESP トレーラです。新 IP ヘッダは途中のルータが転送に使うので暗号化できず、ESP ヘッダには受信側がどの鍵で復号するかを判断する情報が入るので平文のまま送ります。ESP 認証データは、ESP ヘッダから ESP トレーラまでを対象に計算した値で、暗号化の外に置かれます。見分ける軸は、受信側が復号する前に読む必要がある部分はどこかです。復号前に読む部分は平文、という原則で考えると範囲を決められます。

ほかの選択肢はなぜ違うのか

• アESP ヘッダから ESP トレーラまで：ESP ヘッダから ESP トレーラまでは、ESP 認証データによる改ざん検知の対象となる範囲です。ESP ヘッダには復号に使う鍵を特定する情報が入るため、暗号化されずに送られます。
• イTCP ヘッダから ESP 認証データま…：TCP ヘッダから始めると、トンネルモードで包んだ元の IP ヘッダが暗号化の外に出てしまいます。また ESP 認証データは暗号化した後に計算して付ける値で、暗号化の範囲には入りません。
• エ新 IP ヘッダから ESP 認証データ…：新 IP ヘッダは、途中のルータが宛先を読んで転送するために使うので、暗号化すると届かなくなります。ESP 認証データも暗号化の対象外で、全体を暗号化するという記述は成り立ちません。