令和元年度 秋期 科目A-2（午前Ⅱ）

解説

IPsec のトンネルモードは，元の IP パケット全体を暗号化などで保護したうえで新しい IP ヘッダを付けてカプセル化するので，ネットワーク層のパケットをそのまま IP パケットで運ぶトンネリングができる。アが該当する。

イの L2TP とウの PPTP は，データリンク層の PPP フレームをカプセル化して運ぶレイヤ 2 のトンネリングプロトコルである（L2TP は UDP で，PPTP は GRE で運ぶ）。エの RSTP は，スパニングツリーの収束を速くした Rapid Spanning Tree Protocol で，トンネリングとは関係がない。

解説

OSPF はコストの合計が最小の経路を選ぶ。x と y を同じ値 k とすると，拠点 1（a）から拠点 3（i）へは，WAN1 経由が a－b－e－h－i で 30＋100＋30＋10＝170，WAN2 経由が a－d－g－f（又は h）－i で 40＋100＋k＋10＝150＋k である。WAN1 を通すには 170＜150＋k，つまり k＞20 が必要になる。拠点 2（c）から拠点 3 へは，WAN1 経由が c－b－e－h－i で 50＋100＋30＋10＝190，WAN2 経由が c－d－g－f（又は h）－i で 40＋100＋k＋10＝150＋k であり，WAN2 を通すには 150＋k＜190，つまり k＜40 が必要になる。20＜k＜40 を満たすのは 30 だけなので，イが適切である。

アの 20 では拠点 1 からの WAN2 経由のコストが 170 となって WAN1 経由と等しくなり，WAN1 だけを通すようにはできない（等コストの経路が並ぶ）。ウの 40 では拠点 2 からの 2 経路がともに 190 で等しくなり，エの 50 では拠点 2 からも WAN1 経由のほうがコストが小さくなる。

解説

OSPF はリンクステート型のルーティングプロトコルで，各ルータがリンクの状態を交換して同じリンク状態データベース（LSDB）を作り，それをもとにダイクストラ法で最短経路を計算する。ディスタンスベクタ型の RIP-2 はリンク状態のデータベースをもたないので，イが OSPF だけに当てはまる。

アの可変長サブネットマスク（VLSM）には，サブネットマスクを経路情報に含める RIP-2 も OSPF も対応している。ウのマルチキャストも両方が使う（RIP-2 は 224.0.0.9，OSPF は 224.0.0.5 と 224.0.0.6）。エの 30 秒ごとの定期的な経路情報の更新は RIP-2 の特徴で，OSPF は変化があったときに更新を通知する。

解説

スパニングツリープロトコルでは，各ブリッジが BPDU に載せたブリッジ ID を比較し，値の最も小さいブリッジをルートブリッジにする。ブリッジ ID は，管理者が設定するブリッジの優先順位（プライオリティ）と MAC アドレスを組み合わせたもので，優先順位が同じなら MAC アドレスの小さいブリッジが選ばれる。エが適切である。

アは誤りで，スパニングツリープロトコルは OSI 基本参照モデルのデータリンク層のプロトコルである。イも誤りで，冗長な経路の一部のポートをブロックして一つの経路だけを使い，ループを防ぐ。ウも誤りで，ブロードキャストフレームはブリッジ間で転送される（ループがあると転送され続けるので，それを防ぐのがこのプロトコルの目的である）。

解説

BGP-4 は，自律システム（AS）の間で経路情報を交換するエクステリアゲートウェイプロトコルである。経路情報には通過してきた AS の並び（AS_PATH）などのパス属性が付けられ，ルータはこれらの属性と管理者の定めたポリシに基づいて経路を選ぶ。このような方式をパスベクタ型という。アが適切である。

イは，全てのノードが同じリンク状態データベースから最小コストの経路を計算する OSPF などのリンクステート型の説明である。ウは，ホップ数が最小の経路を選ぶ RIP などのディスタンスベクタ型の説明である。エは，送信元が経由するノードを指定するソースルーティングの説明である。

解説

CIDR（Classless Inter-Domain Routing）は，クラス A～C の区分にとらわれず，ネットワークアドレス部の長さ（プレフィックス長）を任意のビット数で決めて IP アドレスを割り当てる方式である。「192.168.1.0/26」のようにプレフィックス長を付けて表し，必要な規模に合わせた無駄の少ない割当てや，複数の経路をまとめる経路集約ができる。アが該当する。

イの DHCP は IP アドレスなどの設定情報をホストに自動で配布するプロトコル，ウの DNS はドメイン名と IP アドレスを対応付ける名前解決の仕組み，エの NAPT はプライベート IP アドレスとポート番号の組をグローバル IP アドレスとポート番号の組に変換する技術である。

解説

DHCP クライアントは，最初は自分の IP アドレスもサーバのアドレスも知らないので，DHCPDISCOVER をブロードキャストで送る。ブロードキャストはルータを越えて転送されないので，ルータで区切られた別のネットワークにある DHCP サーバには届かない。そこでルータなどに DHCP リレーエージェントを置き，受け取った要求を DHCP サーバへユニキャストで中継させる。エが該当する。

アのスイッチングハブとイのブリッジはデータリンク層で，ウのリピータは物理層でネットワークをつなぐ機器であり，いずれもブロードキャストをそのまま転送するので，リレーエージェントがなくても DHCP サーバに要求が届く。

解説

NS レコードは，そのゾーン（ドメイン）の権威をもつネームサーバを示すリソースレコードである。ゾーンを分割してサブドメインの管理を別のネームサーバに委ねる場合は，親ゾーンにサブドメイン名と委譲先のネームサーバを NS レコードで記述する（あわせてそのネームサーバの A レコードを置くこともある）。イが適切である。

アは誤りで，先頭フィールドにはネームサーバのホスト名ではなく，ゾーン（委譲するドメイン）の名前を書く。ウも誤りで，データ部（RDATA）にはネームサーバのホスト名を書く。エも誤りで，RFC 2181 は NS レコードの値に別名（CNAME で定義した名前）を使ってはならないとしており，正規のホスト名だけを記述する。

解説

SMTP のセッションは，クライアントが HELO（ESMTP では EHLO）コマンドで自身のホスト名を名乗ることで始まる。EHLO に対してサーバは対応している拡張機能の一覧を返す。イが該当する。

その後，ウの MAIL（MAIL FROM）で送信者を，エの RCPT（RCPT TO）で受信者を指定し，アの DATA でメールの本文を送る。セッションの終了には QUIT を使う。

解説

VRRP（Virtual Router Redundancy Protocol）は，複数のルータで一つの仮想ルータを構成し，仮想 IP アドレスと仮想 MAC アドレスを共有する。通常はマスタのルータが転送を担い，マスタが故障するとバックアップのルータが引き継ぐ。クライアントはデフォルトゲートウェイとして仮想 IP アドレスを設定しておけばよいので，設定を変えずに障害を回避できる。エが該当する。

アの RARP は MAC アドレスから IP アドレスを求めるプロトコル，イの RSTP はスパニングツリーの収束を速くしたレイヤ 2 のループ防止プロトコル，ウの RTSP は音声や動画のストリーミングの再生・停止などを制御するプロトコルである。

解説

ウィンドウによるフロー制御（スライディングウィンドウ方式）では，受信側からの応答確認を待たずにウィンドウサイズ分のデータを続けて送り，応答確認があった分だけウィンドウを先へずらして次のデータを送る。一つ送るたびに応答を待つ方式より，複数のデータをまとめて送れるので効率がよい。ウが適切である。

アは誤りで，TCP のウィンドウサイズは可変であり，スロースタートや輻輳回避のアルゴリズムで送信量を調整する。イは，受信側で誤りを検出して再送を要求する ARQ（自動再送要求）の説明であり，フォワード誤り訂正方式は冗長なビットを付けて受信側だけで誤りを訂正する。エは，通信の前に仮想の通信路を確立するバーチャルサーキット方式の説明であり，データグラム方式はパケットごとに独立して経路を選ぶ。

解説

OpenFlow では，コントローラとスイッチの間の通信路（OpenFlow チャネル）で，フローテーブルの設定やパケットの問合せなどの制御メッセージをやり取りする。OpenFlow の仕様では，このチャネルは TCP/IP の接続を前提とし，TLS で暗号化するか，TCP をそのまま使うとされている（既定のポート番号は 6653）。イが適切である。

アは誤りで，IP を直接使うのではなく TCP の上で通信する。ウのファイバチャネル上の SCSI（FCP）は，SAN でサーバとストレージの間の通信に使うもので，OpenFlow の制御には使わない。エも誤りで，制御メッセージは確実に届く必要があるので，UDP ではなく TCP が使われる。

解説

FTP のパッシブモードでは，クライアントが PASV コマンドを送ると，サーバは待ち受けるデータ転送用のポートを開いて，その IP アドレスとポート番号を応答で返す。クライアントはそのポートへ自分から接続して，データ転送用コネクションを張る。ウが該当する。

アの ACCT はユーザのアカウント情報を送るコマンド，イの MODE はストリームやブロックなどの転送モードを指定するコマンドである。エの PORT は，クライアント側の IP アドレスとポート番号をサーバに通知し，サーバ側からクライアントへデータ転送用コネクションを張らせる（アクティブモードの）コマンドである。

解説

WebDAV（Web-based Distributed Authoring and Versioning）は HTTP/1.1 を拡張したプロトコルで，PUT や DELETE に加え，PROPFIND・MKCOL・COPY・MOVE・LOCK などのメソッドによって，Web サーバ上のファイルのアップロード，更新，フォルダの作成，排他制御などができる。エが該当する。

アの CSS は Web ページの見た目（レイアウトや文字の装飾）を指定するスタイルシートの言語，イの MIME は電子メールなどで文字以外のデータや多様な形式を扱うための規格である。ウの SSL は通信を暗号化するプロトコルである。なお，SSL は脆弱性が見つかったため，現在は RFC で使用してはならないとされており（SSL 3.0 は RFC 7568），後継の TLS が使われている。

解説

Wi-SUN は，IEEE 802.15.4g を基にした 920 MHz 帯（サブ GHz 帯）の小電力無線通信の規格で，スマートメーターなどに使われる。障害物を回り込みやすいサブ GHz 帯の電波を使ううえ，端末どうしが中継するマルチホップ（メッシュ）によって，500 m を超える広い範囲をカバーできる。ウが適切である。

アは誤りで，BLE は従来の Bluetooth と同じ 2.4 GHz 帯を使い，従来の Bluetooth（BR/EDR）とは直接の互換性がない。イも誤りで，IEEE 802.11ac は 5 GHz 帯の高速な無線 LAN の規格であり，サブ GHz 帯を使う無線 LAN の規格は IEEE 802.11ah である。エの 1 台の親に最大 7 台の子が接続するスター型の構成は Bluetooth のピコネットの説明であり，ZigBee はスター型のほかツリー型やメッシュ型のネットワークを構成できる。

解説

SSL/TLS では，通信の開始時のハンドシェイクで，使うプロトコルのバージョンや暗号スイートをクライアントとサーバが交渉して決める。ダウングレード攻撃は，中間者がこの交渉に介入して，古いバージョンや弱い暗号スイートを選ばせ，解読しやすい暗号化通信を行わせる攻撃である。エが該当する。

アは，暗号鍵の候補を全て試す総当たり（ブルートフォース）攻撃の説明である。イとウのように，通信中のデータを操作して証明書を失効させたり，Web ブラウザを古いバージョンに入れ替えたりすることは，ダウングレード攻撃とは異なる。なお，現在は SSL 3.0 や TLS 1.0/1.1 は RFC で使用してはならないとされ（RFC 7568，RFC 8996），TLS 1.3 にはダウングレードを検知する仕組みが組み込まれている。

解説

Cookie の secure 属性は，その Cookie を HTTPS などの暗号化された通信のときだけ送出するようブラウザに指示する属性である。URL のスキームが https のページのときだけ送出されるので，平文の HTTP 通信で Cookie が盗聴されることを防げる。ウが正しい。

アの有効期間を過ぎると無効化されるのは Expires 属性や Max-Age 属性の働き，イの JavaScript による読出しを禁止するのは HttpOnly 属性の働き，エのパスのプレフィックスが一致するときに送出されるのは Path 属性の働きである。

解説

SYN/ACK パケットは，TCP の接続要求（SYN）を受け取ったサーバが返す応答である。IP アドレス A のポート 80/tcp から，ホストに割り振られていない未使用アドレス宛てに SYN/ACK が大量に送られているのは，攻撃者が送信元 IP アドレスを未使用アドレスなどに偽装した SYN パケットを A に大量に送り付け，A がその偽の送信元に応答している状況と推定できる。これは A を攻撃先とする SYN フラッド攻撃（サービス妨害攻撃）の跳ね返り（バックスキャッタ）であり，アが該当する。

A は SYN/ACK を返している側なので攻撃元ではなく，ウ・エは当たらない。パスワードリスト攻撃は TCP 接続を確立したうえで認証を試行する攻撃であり，実在しないアドレスとの間では接続が確立しないので，イも当たらない。

解説

UDP のポートスキャンでは，対象ポートに UDP パケットを送り，ICMP の“port unreachable”（ポート到達不能）メッセージが返ってくれば，そのポートは閉じていると判定する。応答がない場合は，開いているか，フィルタリングされている可能性がある。ウが適切である。

エは開いていると判定しており逆である。ア，イの TCP の SYN スキャンでは，SYN/ACK が返ってくればポートが開いていて接続要求が許可されたと判定し，RST/ACK が返ってくればポートが閉じていて接続が拒否されたと判定するので，いずれも判定が逆になっている。

解説

rootkit（ルートキット）は，攻撃者が不正侵入したコンピュータで，バックドアや不正なプログラムの存在，ログの痕跡などを隠蔽し，管理者に気付かれずに管理者権限で活動し続けるための機能をまとめたツールである。アが正しい。

イのカーネル部分の脆弱性を分析すること，ウのウイルスやワームに感染していないことのチェック，エの通信ポートを外部から調査すること（ポートスキャン）は，rootkit の特徴ではない。

解説

DNS amp（DNS リフレクション攻撃）は，送信元 IP アドレスを攻撃対象に偽装した問合せを，誰からでも再帰的な問合せを受け付ける DNS キャッシュサーバ（オープンリゾルバ）に大量に送り，大きな応答を攻撃対象に集中させる攻撃である。キャッシュサーバとコンテンツサーバを分離し，インターネット側からキャッシュサーバに問合せできないようにすれば，踏み台にされることを防げる。アが正しい。

イの Whois データベースでドメインの情報を確認しても，攻撃は防げない。ウの一つのレコードに複数の IP アドレスを割り当てるのは DNS ラウンドロビンによる負荷分散である。エのディジタル署名による応答の確認は DNSSEC で，キャッシュポイズニングへの対策である。

解説

主記憶からフェッチした命令をいったん保持し，命令デコーダへ渡すのは命令レジスタ。図の a は主記憶と命令デコーダの間にあるので，これに当たる。

アのアキュムレータは演算の対象や結果を保持するレジスタ，イのデータキャッシュは命令ではなくデータを保持する高速メモリ，ウのプログラムレジスタ（プログラムカウンタ）は次に実行する命令のアドレスを保持するレジスタである。

解説

ピアツーピア（P2P）システムでは，ネットワーク上のコンピュータが対等な立場で，それぞれがサービスの提供者にも利用者にもなり，互いに直接通信する。全体を管理するサーバがないので，アカウントやセキュリティを一元的に管理するのが難しく，不特定多数の利用者が匿名で参加できるなど隠蔽性が高い。アが適切である。

イの特定のコンピュータがサービスを提供し，他がそれを利用する役割分担の明確なシステムは，クライアントサーバシステムである。ウの負荷が全体を監視するコンピュータに集中するのは，中央のサーバで管理する集中型のシステムの特徴である。エも誤りで，P2P ではデータが多数のピアに分散しているので，存在場所を探す手間がかかり，データの更新や削除の管理も難しい。

解説

ユースケース図は，システムを利用する人や外部システム（アクタ）と，システムが提供する機能（ユースケース）との関係を線で結んで表す図。システムの外側から見た振る舞いを示すのに使う。ウが正しい。

アは状態マシン図，イはクラス図の説明。エのデータの流れに注目して機能を表すのは DFD で，UML の図ではない。

解説

CPRM（Content Protection for Recordable Media）は，記録型のメディアに録画・録音したコンテンツを保護する著作権保護技術で，SD メモリカードや記録型 DVD で使われている。メディアごとの固有の ID を使って暗号化するので，コンテンツを別のメディアに複製しても再生できない。イが該当する。

アの CPPM は DVD-Audio など記録済み（再生専用）のメディアの保護技術，ウの DTCP は IEEE 1394 や IP ネットワーク（DTCP-IP）などで機器間を伝送するコンテンツを保護する技術，エの HDCP は HDMI や DVI などで機器からディスプレイへ送る映像信号を保護する技術である。