知識マップ: 情報処理安全確保支援士 令和5年秋 午後問2解説 ── 来客用Wi-Fiから持ち出されるファイル
記事「情報処理安全確保支援士 令和5年秋 午後問2解説 ── 来客用Wi-Fiから持ち出されるファイル」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。
この記事は、情報処理安全確保支援士試験 令和5年度秋期午後問2を題材に、無線LANとサーバ証明書まわりの設計レビューを整理した解説記事です。全員が同じ鍵を共有するWPA2-PSKは、鍵を知る者なら誰でも本物と区別のつかない偽AP(evil twin)を立てられる弱点を持ちますが、サーバ証明書の検証とHSTSがあれば偽サイトへのログインは成立しません。従業員による持出しでは、MACアドレス詐称にはクライアント証明書とRADIUSを使うEAP-TLSが対策になり、送信元IPアドレス制限が複数のネットワークで共有されるNATの出口によってすり抜けられる問題には来客用ネットワークの分離が対策になります。秘密鍵をTPMに格納して取り出せなくすることが、証明書による認証を実際に機能させる鍵です。
flowchart LR
accTitle: 情報処理安全確保支援士 令和5年秋午後問2(無線LANとサーバ証明書)の知識マップ
accDescr: WPA2-PSKの共有鍵ゆえの弱さがMACアドレス詐称やevil twin攻撃を招く一方、サーバ証明書の検証とHSTSが偽サイトへのログインを防ぎ、EAP-TLSとRADIUS・TPMに格納した秘密鍵が端末ごとの認証を実現し、NATで共有される送信元IPアドレス制限の限界とその是正までの関係を示す図です。
wpa2_psk["WPA2-PSK"]
eap_tls["EAP-TLS"]
evil_twin["evil twin(悪魔の双子)攻撃"]
phishing["フィッシング"]
mac_address_filtering["MACアドレスフィルタリング"]
mac_address_spoofing["MACアドレスの詐称"]
server_certificate_validation["サーバ証明書の検証"]
certificate_chain["証明書チェーン"]
root_ca["ルートCA証明書"]
certificate_revocation_check["証明書の失効確認"]
trust_anchor_risk["信頼の起点の悪用リスク"]
hsts["HSTS(HTTP Strict Transport Security)"]
hsts_preload_list["HSTSプリロードリスト"]
client_certificate["クライアント証明書"]
radius["RADIUS"]
ieee_802_1x["IEEE 802.1X(EAP over LAN)"]
network_policy_server["ネットワークポリシーサーバー(NPS)"]
private_key["秘密キー"]
tpm["TPM"]
key_exfiltration_risk["秘密キーの持ち出しリスク"]
shared_egress_ip_bypass["共有出口IPによる送信元IP制限の回避"]
nat["NAT(ネットワークアドレス変換)"]
guest_network_isolation["来客用ネットワークの分離"]
unused_config_cleanup["使わなくなった設定の削除"]
source_ip_restriction["送信元IPアドレス制限"]
wpa2_psk -->|"原因になり得る"| evil_twin
evil_twin -.->|"原因になり得る"| phishing
mac_address_filtering -->|"用いるのは非推奨"| mac_address_spoofing
eap_tls -->|"推奨される対応"| mac_address_spoofing
server_certificate_validation -.->|"防止する"| phishing
server_certificate_validation -->|"利用する"| certificate_chain
server_certificate_validation -->|"利用する"| root_ca
server_certificate_validation -.->|"利用する"| certificate_revocation_check
root_ca -.->|"原因になり得る"| trust_anchor_risk
hsts -.->|"防止する"| phishing
hsts -->|"前提とする"| server_certificate_validation
hsts_preload_list -.->|"軽減する"| evil_twin
eap_tls -->|"利用する"| client_certificate
eap_tls -.->|"利用する"| radius
eap_tls -.->|"利用する"| ieee_802_1x
network_policy_server -->|"実装を担う"| radius
client_certificate -->|"前提とする"| private_key
private_key -.->|"に保存される"| tpm
tpm -.->|"防止する"| key_exfiltration_risk
shared_egress_ip_bypass -.->|"前提とする"| wpa2_psk
nat -->|"原因になり得る"| shared_egress_ip_bypass
guest_network_isolation -->|"防止する"| shared_egress_ip_bypass
guest_network_isolation -->|"より先に行うべき"| unused_config_cleanup
source_ip_restriction -.->|"両立しない"| nat
概念間の関係(全24件)
図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。
- WPA2-PSKはevil twin(悪魔の双子)攻撃の原因になることがあります。
- evil twin(悪魔の双子)攻撃はフィッシングの原因になることがあります。
- MACアドレスフィルタリングをMACアドレスの詐称に用いることは推奨されません。
- EAP-TLSはMACアドレスの詐称に対する本記事の推奨です。
- サーバ証明書の検証はフィッシングを防ぎます。
- サーバ証明書の検証は証明書チェーンを利用します。
- サーバ証明書の検証はルートCA証明書を利用します。
- サーバ証明書の検証は証明書の失効確認を利用します。
- ルートCA証明書は信頼の起点の悪用リスクの原因になることがあります。
- HSTS(HTTP Strict Transport Security)はフィッシングを防ぎます。
- HSTS(HTTP Strict Transport Security)はサーバ証明書の検証を前提とします。
- HSTSプリロードリストはevil twin(悪魔の双子)攻撃を軽減します。
- EAP-TLSはクライアント証明書を利用します。
- EAP-TLSはRADIUSを利用します。
- EAP-TLSはIEEE 802.1X(EAP over LAN)を利用します。
- ネットワークポリシーサーバー(NPS)はRADIUSの実装を担います。
- クライアント証明書は秘密キーを前提とします。
- 秘密キーはTPMに保存されます。
- TPMは秘密キーの持ち出しリスクを防ぎます。
- 共有出口IPによる送信元IP制限の回避はWPA2-PSKを前提とします。
- NAT(ネットワークアドレス変換)は共有出口IPによる送信元IP制限の回避の原因になることがあります。
- 来客用ネットワークの分離は共有出口IPによる送信元IP制限の回避を防ぎます。
- 来客用ネットワークの分離は使わなくなった設定の削除より先に行うべきです。
- 送信元IPアドレス制限はNAT(ネットワークアドレス変換)と両立しません。
主要概念の定義
機械可読データ
このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。