SyuchiNikuRingの備忘録

お勉強したことをまとめておく場所。中の人の理解や感覚で書いているから不正確なことも多いかも。

憲法っ！～公務員・刑事施設収容者・未成年の人権に関する判例

法律 憲法

やっほー。今回も憲法に関するまとめです。
今回は特殊なケースの人権に関してまとめていきます。

さて突然ですが、公務員は人権が一部制限されています。なぜでしょうか。

かつては、「特別権力関係論」が唱えられ、法的根拠なしに「特別権力関係内部」の人権を制限可能だとされていました。言うまでもなく、現在は支持されていません。

現在の考え方は、憲法のこの規定に拠るものとなっています。

憲法15条2項
すべて公務員は、全体の奉仕者であつて、一部の奉仕者ではない。

全体の奉仕者であるので、その奉仕に差し障る部分に関しては人権を制限されます。

後述しますが、全逓東京中郵事件判決では次にように裁判所は述べています。リンクもあるので、ぜひ原文を読んでみてください。

国民生活全体の利益の保障という見地からの制約を当然の内在的制約として内包しているものと解釈しなければならない。

裁判所 | 裁判例情報:検索結果一覧表示画面

では、判例の紹介です。

賃上げを要求したものの当局に拒否された全逓信労働組合が全国の支部に対して職場大会に参加するよう要請し、東京中央郵便局職員がこれに参加したため、捜査当局が郵便法違反の疑いで組合幹部を捜査・起訴したもの。公務員の労働権に関して争われた。
(判決）労働争議の禁止規定は違憲ではない。

  1. 公務員の労働争議禁止規定は違憲ではないが、労働権については十分に尊重されるべきもの
  2. 制限が認められる場合とは、
  • 合理的で必要最小限度の範囲に留める
  • 国民生活に及ぼす重大な影響を避けるためやむを得ないとき
  • これらの制限に見合う代替策を満足すること

などを挙げています。

公務員の争議行為を一律に全面禁止とする国公法98条5項、110条1項17号が28条に違反しないのかが争われた。
(判決)国公法規定は28条に違反しない。

  1. 28条労働基本権の保証は公務員にも及ぶもので、公務員に対して労働基本権を否定することは許されない。
  2. 公務員の地位の特殊性と職務の公共性を理由として必要やむを得ない限度で公務員の労働基本権に制限を加えることには十分合理的な理由がある。

公務員の政治活動を禁止する国公法規定は、公務員の政治活動の自由を侵害し21条に違反しているとして、国公法規定の違憲性を争った事件。
(判決）国公法及び同規則は21条に違反しない。

  1. 公務員の政治活動の禁止規定は、合理的で必要やむを得ない限度に留まるものである限り許容される。
  2. 合理的で必要やむを得ない限度に関する判断基準は、

  • 規制目的の正当性
  • 規制目的と禁止される政治的行為との合理的関連性
  • 政治的行為の禁止により得られる利益と失われる利益との均衡

の観点から判断される。

  • 目黒事件(最判平24.12.7)

管理職的理地位になく職務に裁量を有していない公務員が、職務・所属組織とは無関係に、また公務員として認識され得る態様でもなく行ったビラ配布行為が国公法が禁じる政治行為に当たるか否かを争った事件。
公務員として認識され得る態様で行っていないこと、職務や所属組織とは全く無関係に行ったことなどから、公務員の職務遂行の政治的中立性を損なうものとは言えず、国公法にいう政治行為に当たらないとされた。

  • 世田谷事件(最判平24.12.7)

管理職的地位にあることや職務内容に鑑みれば、政党機関紙の配布行為という特定政党の積極的支持を行うことは、勤務時間外であったとしても、公務員の職務遂行の政治的中立性を損なうおそれが実質的に認められる。


次に、刑事施設収容者(在監者)の人権に関する判例です。

拘留中の被告人が新聞を購読していたところ、よど号ハイジャック事件に関する記事が拘置所長により全面的に抹消され、このことが被告人の「知る権利」の侵害であると争われた。
(判決）当該記事を全面抹消した拘置所長の判断に裁量権の逸脱又は濫用はない。

  1. 収容者に対する検閲や閲読の制限に対しては、施設内の規律・秩序の維持上放置できない程度の障害が生ずる蓋然性が必要である。
  2. 蓋然性があったとしても、制限は必要最小限度にとどめるべきである。
  3. 本件に関しては、拘置所長の判断には合理的根拠があり、権限の逸脱濫用はない。

→収容者に対する閲読制限や検閲が許されるのは、「制限かけないと施設内の秩序がやばい」といえる十分な可能性が必要ということです。

最後に、未成年者の人権に関する判例です。

有害図書の自動販売機への収納を禁止し、違反した場合には処罰を規定した条例が、表現の自由の侵害となり21条1項に違反しているとして争われた事件。
(判決）21条1項に違反しない。

  1. 有害図書が、判断能力の未熟な青少年の性の育成上、価値観形成に悪影響を与えうるものであることは社会共通の認識である。
  2. 自販機販売は目につきやすく、対面販売よりもハードルが低い上、昼夜問わずに購入できる。
  3. 条例による自販機販売の規制は、成年にとっては有害図書の流通を幾分制限しうるものになるが、それでも青少年の育成環境を浄化するうえでは必要やむを得ない制約である。

→太文字の部分が規制により得られる利益と失われる利益の比較衡量部分です。

私立高校でパーマを禁止する校則に違反したことを理由に退学処分を勧告したことは13条に違反するとして争われた事件。
(判決）民法1条、90条に違反しない。
なぜ、憲法違反に関して争っているはずなのに、結論が民法に関するものなのかというと、本件は、私人間の争いだからです。憲法は公法といわれる属性を有しており、これは国家と国民の関係を規律します。一方で民法は私法と言われ、私人間の関係を規律します。

  1. 憲法上の自由権的基本権の保障を私人間の関係について当然には適用又は類推適用されない。
  2. 拘束は社会通念上不合理なものではない。


今回はここまで。

憲法っ！～人権保障に関する判例

法律 憲法

やっほー。今回は憲法のお話をしますよ。これまでの話と全く異なる分野の話になりますが、まあいいよね。砕けた感じでまとめていきます。お堅いのは苦手なのです。
まずは外国人の人権保障に関する判例を見ていきましょう。

政治的活動を理由として法務大臣が外国人の在留期間の更新申請を認めなかったことが争われた。
(判決）不許可処分は違法ではない。

  1. 基本的人権は、日本人のみが対象になるべきもの以外は在留外国人に関しても認められる。
  2. 政治活動の自由は、日本の政治的意思決や実施などに影響するものを除いて、保障される。

→国の施政行為に影響しない範囲では自由にやってよい。

定住外国人が地方議会議員の選挙権を認めるように求めたが選管が却下したので、この却下に関して争われた。
(判決)外国人には憲法上選挙権が保障されていないが、法律で地方参政権を認めることは違憲ではない。しかし、この法律に関しては立法府たる国会の問題であり、そのよう法律を立法しなかったとしても違憲とはならない。
→地方政治レベルなら法律で認めてもいいけど、そういう法律を作らなくても違憲にはならない。

  1. 公務員の選定罷免権(憲法15条1項)は在留外国人に及ばない。
  2. 93条2項にいう「住民」は地方公共団体区域内に住所を有する日本国民を指す。したがって、地方公共団体の長や議会議員などの選挙権は外国人には保障されない。
  3. とはいえ、法律で選挙権を付与することは憲法で禁止されていない。
  4. 法律で選挙権を付与するのか否かは国会の立法政策上の問題なので、そのような法律を立法しなかったとしても違憲になるわけではない。
  • 管理職選考試験の受験資格に関する判例(最大判平17.1.26)

地方公務員の定住外国人が管理職昇進試験の受験資格を認められなかったことから、受験資格の確認を争った。
(判決）公権力行使等地方公務員(とりあえず管理職と思ってください）への昇進を日本国民に限定していることは違憲ではない。

  1. そもそも外国人が公権力行使等地方公務員の地位に就くことは法体系が想定していない
  2. 公権力行使等地方公務員への昇進に必要な職務経験を包含する管理職の任用制度を構築し、その対象を日本国民の職員に限定することには合理的理由があるから、憲法14条1項・労基法3条に反しない。

→要は、公権力行使等地方公務員は地方行政において公権力行使を行う公務員であり、住民の権利義務の形成と範囲の確定などを行うから、日本国民の職員にのみその地位を認めるべきでしょということ。

障害福祉年金受給申請をしたものの申請時点で日本国民でなかったことを理由に申請を棄却されたので、これについて争った。
(判決）受給請求は認められない。

  1. 在留外国人に対する社会保障上の処遇は政治的に決定することができ、日本国民を外国人に優先して福祉的給付を受けさせることができる。
  2. 国民年金法81条1項の障害福祉年金の支給対象から在留外国人を除外することは国会の裁量の委ねられる。
  3. 国籍を根拠に福祉的給付をしなかったとしても25条及び14条に反しない。

→自国民優先で給付することは憲法上問題はない。

ここまで個人の人権に関する判例を見てきました。では、法人はどうなのでしょうか。

会社名で政治献金したところ、株主が取締役の責任追及のため株主代表訴訟を起こした。
(判決)政治献金は許される。

  1. そもそも性質上可能な限り法人にも人権が保障される。
  2. 会社は、自然人同様、政治的行為を為す自由を有している。政治献金もその一環として認められる。
  • 南九州税理士事件(最判平8.3.19)

(判決）政治献金は認められない。

  1. 税理士会は強制加入団体で、様々な思想信条を有した者が存在することが予定さており、また会員には実質的に脱退の自由に認められていない。
  2. そのため、税理士会が政治献金を行うことは目的の範囲外の行為であり、無効。

→強制的に参加しないといけないのに自分の思想信条に反した不本意な献金が行われることは許されない。

司法書士会が被災地域の司法書士会に寄付をすることを是非を巡って争われた。
(判決)寄付は許される。

  1. 司法書士会が強制加入団体であったとしても、本件の寄付は会員の政治的立場や思想信条を害するものではない。

今回はここまで。これからもたまに法律トピックを入れます。

Telnetなどのお話。

セキュリティ

やっほー。
今回はTelnetなどに関してちゃんとまとめます。ではいってみよー。

★Telnet
デフォルトportはTCP23番。認証の際のuser-nameもpasswordも暗号化されずにネットワーク上を流れる。したがって、インターネット上ではSSHが推奨されている。

◎使用例

  • telnet clientのコマンド

telnet serverに接続し、TCPを用いる様々なserverにつなぐ＆手動で動作確認。【telnet 接続先IP adress 　port number】で指定する。
アタッカーも同様に指定するので、そのことを前提としたシステムの構築と運用が必要。

★SSHとSCP・SFTP
SSH(Secure Shell)は、リモートログイン時又はファイル転送時のAuthentication,encryption,detectionの機能を持つ。デフォルトのPort番号はTCP22番。Telnet/rlogin/rshなどのコマンドの代わりも。暗号アルゴリズムはAES,DESなどを選択可能。

◎SSHのAuthentication

  • Host Auth

SSH通信時にclientがserverを認証する。serverはclientに自身のpublic keyのfingerprintを渡す。

  • user Auth
  1. password Auth:server側によるuser-accountとpasswordの認証
  2. public key Auth:client側の作成したuserのpublic keyをserverに登録して認証

◎Port Forwarding
特定のPortから受け取ったデータを他のPortに転送する方法で、手軽なVPNとして使える。

◎SCP&SFTP
SSHを使うコマンド。

  • SCP(Secure Copy)

リモートホスト間・ローカルホスト間でSSHを介した暗号化＆認証したセキュアなコピーを行うコマンド。

  • SFTP(Secure FTP)

SSH serverにログインしてファイル転送をセキュアに行うコマンド。

★SNMP(Simple Network Management Protocol)
アプリケーション・ホスト・ネットワーク機器を集中管理するためのprotocol。デフォルトportはUDP161番、162番。
エージェントとマネージャのうち、port番号を割り当てられた方がserverになる。

◎community name

エージェント、マネージャに必要な共通の名前。一致していない場合通信ができない。

◎MIB
エージェントが管理する機器の情報にアクセスするための標準的変数を階層構造的に構成したディレクトリ。エージェントはこのMIBを介して自身の管理下の機器の情報を取得する。マネージャはエージェントから情報を取得して機器の状態を把握する。

★NETBIOS（SMB/CIFS)
インターフェイスはTCP/IPとSMBを繋ぐためにNBT(NETBIOS over TCP/IP)として追加。デフォルトのport番号は、名前解決がUDP137番、データグラム転送がUDP138番、ストリームデータ転送がTCP139番。
SMBとCIFSはWindowsのファイル共有サービス用のprotocol。
※NBTportは脆弱なので、CIFS(Common Internet File System)によりNBTを経由せずにTCP/IPでデータの送受信(Direct Hosting of SMB)を可能にしている。

★VPN
言わずと知れた通信の機密性の有名人。
通信のconfidentiality/integrity/authenticityを提供。具体的にはtunnel化や暗号化、認証機能など。

  • tunnel化

宛先をもつパケットを別の宛先を持つパケットに入れて通信する技術で、いわゆるカプセル化。

  • 暗号化

public-key cryptographyでsymmetric key encryptionのkeyを交換し、symmetric key encryptionを用いてカプセル化したパケットを暗号化・復号する。

  • authentication

clientからserverに接続する際に認証する。

◎L2TP(Layer-2 Tunneling Protocol)とPPTP(Point to Point Tunneling Protocol)
PPP通信をカプセル化するprotocol。データリンク層からの暗号化,
改ざん防止、認証機能。

PPTPとシスコシステムズのL2Fを統合し、IETFにより標準化されたprotocol。デフォルトport番号はUDP1701番。IPSecと組み合わせてカプセル化したパケット全体の暗号化をする。

ネットワーク層より上位を暗号化してIPネットワークを通信させる。デフォルトportはTCP1723番。GRE(Generic Routing Encapsulation)ヘッダを用い、ファイアウォールを介した通信では、このポートを開けてGRE protocolのIDもアクセスするように設定。PPTPの暗号化は認証protocol MS-CHAP,EAP-TLSで、対称鍵暗号のprivate keyを交換し、MPPE(Microsoft Point-to-Point Exchange)を使う。

◎RDP
リモートデスクトップのためのprotocol。デフォルトport番号はTCP3389番。攻撃者がRDPを用いるときは、portスキャンしてTCP3389番が開いているとリモートデスクトップの利用を試みる。

◎TCP Wrappers
システム上の特定サービスへのアクセスポリシー。

今回はここまで。次回はネットワークのストレージに関するまとめをします。

Classification of Viruses!

セキュリティ

やっほー。前回にTelnetなどに関してまとめますと言いましたが、例によって今回もやりません。後日やります。これはマジ。
今回はウイルスの分類について勉強したことをまとめます。レッツゴー。

  • Polymorphic Viruses

アンチウイルスソフトに検出されないように、感染するたびに新たな暗号解読ルーティンを生成するウイルス。

  • Stealth Viruses

感染したことを検知されないように、victimのコンピュータが正常であるように偽装するウイルス。

  • Slow Viruses

修正時に変更した又はコピーしたファイルにのみ感染するウイルス。オリジナルファイルに影響しないので検出が困難です。

  • Retro Viruses

アンチウイルスソフトの機能を停止させてから感染し、アンチウイルスソフトの動作(設定)を変更するウイルス。 凶悪ですね…

  • Multipartite Viruses

ブートセクターと実行可能ファイルに同時感染するウイルス。ブートセクタに感染するのでシステムの制御を奪われます。

  • Armored Viruses

Armoredとある時点でだいぶやばそうなニオイがしますね。このウイルスはアンチウイルスソフトに自身の位置を偽装します。そのため、追跡やリバースエンジニアリングが困難になります。

  • Companion Viruses

このウイルスは実行可能ファイル用にCompanion fileとしてCOMファイルを作成します。COMファイルは実行ファイルに優先することを利用したものです。

  • Phage Viruses

リライトコードによりプログラムの削除や破壊を行うウイルスです。
自分のDNAを大腸菌に感染させて増殖する、理科でおなじみT2ファージをイメージするといいかもしれません。

  • Revisiting Viruses

メモリ内で自身を複製し、TCP/IP Protocolを用いて他のコンピュータに自身を複製して増殖します。ワームですね。

今回はここまで！
ウイルスには気を付けましょう。

Spam対策 from テクニカルな観点

セキュリティ

やっほー。前回のエントリでTelnetなどに関してまとめるなどと言いましたが、量が多いのでまた今度にします。
今回はライトな感じでSpam対策に関してテクニカルな観点からまとめます。（勉強したての知識を吐き出したいだけです。）
Spamメールが最近よく来るのでタイムリーだったりします。なんなんでしょうね。来る日はどかっと来るのですが、大人しい日は一通も来ません。送信者は完全週休二日なのでしょうかね？

そんなことはさておき本題にレッツゴー。

  • SMTP Authentication

SASL(Simple Authetication and Security Layer)認証のロジックを利用したuser認証です。メールの送信時にuser名とパスワードを要求します。

送信前に指定されたPOP3サーバにアクセスして行うuser認証でSMTPの使用を許可します。認証されなければSMTPの使用はできませんのでメールの送信はできません。

  • Sender Policy Frame Work

特定のドメインのメールを転送可能なサーバのIPアドレスをリスト化しておき、そのドメインに関係しない、送信元を偽装したメールが転送されてきたときには自動で受け取り拒否ができる転送元メールサーバの認証です。

  • Domain Key

送信側のSMTPサーバでデジタル署名をして、受信側のサーバで検証する認証です。

今回は以上です。ライトでしょ。
勉強していて、SMTP AuthenticationとPbSは「送らせない」ようにするものに思えましたね。
後半2つは受信者側の防衛手段ですね。印象的に。

TLS/SSLのお話。

セキュリティ

やっほー。前回のエントリで書いた通り、今回はTLS/SSLについて勉強したことをまとめます。

★SSL(Secure Socket Layer)とは？
Socketとあることから通信に関係するものであることは何となくわかります。そしてSecureとありますから、通信を安全に行うための何かであろうという予想はつきますね。
SSLはTCPの上位ProtocolとしてTCP Socketインターフェイスとアプリケーションの間を構成し、authenticity/confidentiality/integrity/non-repudiationの機能を提供します。またUDPをサポートしません。

  • integrityを実現する暗号方式

message authentication code HMACを使用。
SHA-384/256,SHA-1,MD5が使えます。

  • confidentialityを実現する暗号方式

symmetric key encryptionを使用。
AES/Camellia/IDEA/RC4/RC"/DES3が使えます(versionによります)。

  • non-repudiationを実現する暗号方式(Key Exchangeとdigital signatureのための暗号方式)

TLS/SSLを用いたmessageの暗号化用のKey ExchangeはDH,ECDH,ECDHEなど。
Digital SignatureはRSA, DSA,ECDSAなど。
PSKを用いる方式も存在します。

暗号方式に関してまとめましたが、実際にTLS/SSLで選択される暗号方式の組合せは、clientとserverとの通信で決まります。

※TLS/SSLの脆弱性に関して
2014年2月に発見されたheartbleedバグはOpenSSLの特定バージョンに存在します。このバグは、攻撃者がいつでもどこでも何度でも痕跡を残さずにサーバ内のメモリからデータを読み出すことを可能にします。脆弱性はCVE2014-0160,CVE2013-0169,CVE2013-2566です。特に,CVE2013-0169はOpenSSLなどでTLS1.1又は1.2をブロック暗号モードで使うとLucky Thirteen攻撃*を受けうるもので、,CVE2013-2566はTLS/SSL通信にRC4を使うとコネクションから平文を得られるというものです。
[Lucky Thirteen攻撃]
攻撃者がリモートから端数が出るパケットを投げて、TLSがブロック長形成のためにパディング処理を行っているときのメッセージ認証コードの値の計算時間差をタイミング攻撃で統計的に解析して平文回復攻撃などを行うこと。

ここからはProtocolのお話になります。

  • FTP(File Transfer Protocol)

そのままですね。ファイル転送用のProtocolとプログラムです。
FTPの通信は制御用(TCP21番)とデータ転送用です。

◎Active Mode
データ転送portはTCP20番。clientがデータ転送用にオープンし待機するportをserverに通知。serverはTCP20番を送信元として通知されたclinet portに対してデータ転送用のTCPコネクションを3 way handshakeで確立します。
【FTP Clientがファイアウォール内の場合】
FTP Serverからの接続要求は拒否される。当たり前ですね。
ファイアウォールを通過するためには、ServerからClientへの【ソースPort=TCP20番、宛先Port=TCP任意】という着信パケットを通過させるようにファイアウォールを設定しなければなりません。
しかしこれは脆弱な設定です。ではどうするのか。もう一つのModeを使います。

◎Passive Mode
Clientがアクセスするときにpassiveであることとデータportを通知して、serverが自身のデータ転送port番号を通知します。その後、clientからserverにデータ転送用のTCPコネクションを3 way handshakeで確立します。clientからinternetの流れなので、脆弱な設定をすることなくファイアウォールにFTPパケットを通過せることができます。

SSLを用いてFTP serverのauthenticationと通信の暗号化を行います。デフォルトのportはTCP990番。暗号化ModeにはImplicitとExplicitの2種類あります。
◎Implicit
FTPS Serverにclientが接続するとTLS/SSL通信を開始します。確かに黙示的ですね。
◎Explicit
clientが認証コマンドを実行してTLS/SSL protocolの選択を行います。コマンドを実行しなければFTPに接続します。確かに明示的ですね。

ではFTPのセキュリティはどうなっているのでしょうか。
FTPの認証は、誰でもアクセス可能な匿名認証とuser-nameとpasswordが要求される基本認証があります。基本認証のuser-nameとpasswordは暗号化されずプレーンな状態でネットワークを流れます。(‼)

  • TFTP(Trivial FTP)

これはUDPを用いたconnection-less Modeで動作します。接続時の認証はありません。デフォルトのportはUDP69番です。Protocolが単純なのでアプリのサイズを小型化でき、ネットワーク機器やdisk-lessのコンピュータなどのROMにアプリを搭載可能で、シスコのルータなどに利用されています。

今回はいったんここまで。次回はTelnetなどに関してまとめます。

IPSecのお話。

セキュリティ

やっほー。今回からしばらくはProtocolに関して勉強したことをまとめていきます。最近、ようやく備忘録らしく使えている気がする。

ではさっそくいってみよー。

★IPSec(Internet Protocol Security)とは？
認証(authentication)、IP Datagram単位の暗号化(Confidentiality)、改竄検出(Integrity)の3機能を有する。これらの機能の実現には、symmetric key encryption, public-key cryptography, hash cryptography, authentication, digital signatureの技術を用いる。
IPv4は別ProtocolとしてIPSecを併用し、IPv6はオプションとしてIPSecを含む。

◎通信モード

  • Transport Mode

送受信ホストの全区間においてIPSec形式のdatagramで通信する。

  • Tunnel Mode

送信ホスト:IP datagramを送信側IPSec Gatewayに送信する。IPSec GatewayはIPSec形式の中にIP datagramをカプセル化する。
受信ホスト:IPSec形式で受信側IPSec Gatewayまで通信する。受信側Gatewayから宛先ホストまではIP datagramで通信する。
流れ的にはこんな感じ。
送信ホスト～(IP datagram形式)～送信側Gateway～（IPSec形式）～受信側Gateway～(IPSec形式)～受信ホスト

◎protocolの種類

  • AH

上位protocol番号51。AH Headerを使用し、message authentication codeを用いてpacket authenticationを提供し、第三者の介入と改竄を検出する。

  • ESP

上位protocol番号50。ESP Headerを使用し、Packetの認証と暗号化の機能を提供。IPSec.v.2.0はESP単独で認証と暗号化が可能。

◎IPSec Packetの構造
【！】IP HeaderとTCP Headerの間に来る。

  • IPSec Transport Mode~AH Header Packet

[IP Header][AH Header][TCP Header][data]
authentication rangeは全て。

  • IPSec Transport Mode~ESP Header Packet

[IP Header][ESP Header][TCP Header][data][ESP trailer][ESP authentication data]
authentication rangeはESP Header~ESP trailerまで。encryption rangeはTCP Header~ESP trailerまで。

  • IPSec Tunnel Mode~AH Header Packet

[外側IP Header][AH Header][IP Header][TCP Header][data]
authentication rangeは全て。

  • IPSec Tunnel Mode~ESP Header Packet

[外側IP Header][ESP Header][IP Header][TCP Header][data][ESP trailer][ESP authentication data]
authentication rangeはESP Header~ESP trailerまで。encryption rangeはIP Header~ESP trailerまで。

◎IPv6のPacket構造

  • IPSec Transport Mode~AH Header Packet

[IPv6 Header][拡張Header][AH Header][拡張Header2][TCP Header][data]
authentication rangeは全て。

  • IPSec Transport Mode~ESP Header Packet

[IPv6 Header][拡張Header][ESP Header][拡張Header][TCP Header][data][ESP Trailer][ESP authentication data]
authentication rangeはESP Header~ESP trailerまで。
encryption rangeは拡張Header2~ESP trailerまで。

◎IPSecの通信準備
2段階あり、IKE(Internet Key Exchange)による鍵交換と認証を行う。
[Phase 1]

  1. 利用可能な暗号アルゴリズムの確認を行い、SA(Security Association)を確立する
  2. Diffie-HellmanでPhase 2で用いるsymmetric key encryptionのprivate keyを計算
  3. authentication:PSK(Pre Shared Key)とdigital certificate

[Phase 2]

  1. IPSec内で使用するheaderと暗号アルゴリズムの確認(2つ目のSA確立)
  2. 相手に専用の制御用トンネル番号を通知(通信経路の通知)

◎IPSecの通信開始
Phase2で確立したSAを用いて行う。

◎IKE Protocolについて

  1. ISAKAMP(Internet Security Association and Key Management Protocol):IKEの中でParameterを交換するProtocolでRFC4306に含まれる。
  2. Oakley(Oakley Key Determination Protocol):ISAKAMPで使用されるKey Exchange(dateの暗号化のために用いる鍵を生成するためのDiffie-Hellman Key Exchange)Protocolに認証機能を追加したもの。RFC2412で公開されている。

◎ISAKAMPの機能

  • Dos攻撃への耐久性向上
  • symmetric key encryptionのprivate keyの生成・交換と管理
  • SAの作成と管理
  • 通信相手の認証

◎SA(Security Association)
IPSecのsecurity情報を管理する構造。ISAKAMP SA(IKEで使用)とIPSec SA(IPSec通信で使用)がある。

・ISKAMPのsecurity parameter

  • symmetric key encryption

AES,3DESなど。ISAKAMP message用暗号。

  • Hash cryptography

SHA-1,MD5など。ISAKMP message用の認証・鍵計算に使用。

  • ライフタイム

ISAKMP SAのライフタイムとライフタイプ(単位は秒など)

  • 認証方式

IPSecの通信相手の機器の認証方式。PKSやpublic keyのcertificateなど。

  • DH Group

Diffie-Hellman group

◎IPSec SA security parameter
通信相手ごとにSAを持つので、一つのホストが複数のSAを持つこともあり得る。

AH or ESP

  • symmetric key encryption

AES,3DESなど。

  • Message Authentication Code

HMAC-MD5, HMAC-SHA-1など。

  • ライフタイム

IPSec SAのライフタイムとライフタイプ

  • 通信モード

Tunnel Mode or Transport Mode

  • DH Group

(option)common keyの生成にPFSを使用する場合に用いる。

今回はここまで。次回はTLS/SSLのメモを落とします。