ESPとは？

ESPの意味

IPsecで暗号化（機密性）と認証・完全性の両方を提供するプロトコル。プロトコル番号は50。ESPヘッダとESPトレーラで対象を挟み、認証データを付加する。

ESPの具体例

ESPトンネルモードでは、元のIPヘッダからESPトレーラまでが暗号化の対象となり、新しいIPヘッダとESPヘッダは平文のまま残る。

ESPは試験でどう引っ掛けられる？

認証だけならAH（プロトコル番号51）。ESPの認証範囲には外側の新IPヘッダは含まれない。

ESPと関連する用語

• IPsec
• トンネルモード／トランスポートモード

ESPが出た過去問

• 図はIPv4におけるIPsecのデータ形式を示している。ESPトンネルモードの電文中で、暗号化されているのはどの部分か。

  正解：オリジナルIPヘッダからESPトレーラまで

  要点：ESPトンネルモードは元IPヘッダ以降を暗号化する

  ESPのトンネルモードでは、元のIPパケット全体を新しいIPヘッダでカプセル化する。暗号化の対象は、オリジナルIPヘッダからESPトレーラまでの範囲である。新IPヘッダとESPヘッダは中継に必要なので暗号化されず、ESP認証データは暗号化後のデータに対する完全性チェック値なので対象外となる。

  出典：平成28年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問7（IPA）

• IPsecに関する記述のうち、適切なものはどれか。

  正解：ESPのトンネルモードを使用すると、暗号化通信の区間において、エンドツーエンドの通信で用いる元のIPヘッダを含めて暗号化できる。

  要点：ESPトンネルモードは元のIPヘッダごと暗号化する

  ESPのトンネルモードでは、元のIPパケット全体（元のIPヘッダを含む）を暗号化し、その前に新しいIPヘッダを付けて転送する。このため、経路上では実際の通信相手のIPアドレスが見えなくなり、拠点間VPNのように途中経路を隠したい用途に適する。

  出典：平成30年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問19（IPA）

• 図はIPv4におけるIPsecのデータ形式を示している。ESPトンネルモードの電文中で、暗号化されているのはどの部分か。

  正解：オリジナルIPヘッダーからESPトレーラまで

  要点：ESPトンネルモードは元IPヘッダーからトレーラまでを暗号化

  ESPのトンネルモードでは、元のIPパケット全体（オリジナルIPヘッダーを含む）をESPトレーラとともに暗号化し、その前に新しいIPヘッダーとESPヘッダーを付ける。したがって暗号化範囲はオリジナルIPヘッダーからESPトレーラまでである。ESPヘッダーはSPIやシーケンス番号を平文で運び、末尾のESP認証データは完全性検査値なので暗号化されない。

  出典：令和5年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問9（IPA）

• IPsecに関する記述のうち、適切なものはどれか。

  正解：ESPのトンネルモードを使用すると、暗号化通信の区間において、エンドツーエンドの通信で用いる元のIPヘッダーを含めて暗号化できる。

  要点：ESPトンネルモードは元のIPヘッダーごと暗号化する

  IPsecのESPトンネルモードでは、元のIPパケット全体（元のIPヘッダーを含む）を暗号化し、その外側に新しいIPヘッダーを付けて転送する。そのため経路上では通信相手の本来の送信元・宛先アドレスが見えず、拠点間VPNで広く使われる。トランスポートモードでは元のIPヘッダーは暗号化されない点が対比になる。

  出典：令和6年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問21（IPA）