基本情報技術者インターネット通信の安全性オリジナル・公式資料照合難易度★★☆☆☆
HTTPSクライアントがhttps://pay.exampleへ接続した。証明書の署名チェーンと有効期間は正しいが、subjectAltNameのDNS名はshop.exampleだけで、pay.exampleに一致する識別子はない。接続先の識別を検証する処理として適切なのはどれか。
A
信頼済みCAの署名があるので、接続先の名前は確認せず受け入れる
CAが署名した証明書であることだけでは、pay.example用の証明書だとは確認できません。接続先識別子の照合が必要です。
B
shop.exampleとpay.exampleは同じexample配下なので、同じサービス名として受け入れる
同じ親ドメインの配下でもホスト名は異なります。別名やワイルドカード等の一致する識別子がない本問では受け入れません。
C
要求したサービス名と証明書の識別子が一致しないので検証を失敗させる★ 正解
照合対象はクライアントが要求したpay.exampleです。提示された識別子が一致しないためサービス識別の検証は失敗します。
D
名前照合の代わりに、クライアントがSNIでpay.exampleと送ったことだけを確認する
SNIで希望するサーバー名を送ることと、相手が提示した証明書の識別子を検証することは別です。SNIの送信だけで本人性は確定しません。
解説
署名チェーンの検証と、接続したいサービスの名前の検証は別の条件です。有効な証明書でも別のホスト向けなら、要求した相手だと確認できません。名前の不一致を検証無効化で回避しません。
根拠資料・確認情報
対応範囲：2026年度 基本情報技術者試験 科目A・B
資料確認日：2026-10-28
同じレッスンの問題
問題 2
TLS 1.3で、証明書認証と一時的なECDHE鍵交換を用いて通信した。再開用PSK・0-RTTは使わず、通信終了後に一時秘密値と通信鍵は消去された。後日、第三者が当時の暗号化通信の記録とサーバーの証明書用秘密鍵だけを入手した。前方秘匿性が意味するものはどれか。
問題 3
署名されたDNSゾーンの応答について、DNSSECの信頼の連鎖と署名検証が正しく成立した。DNSSECが主として提供する性質はどれか。通信経路の暗号化を追加する別の方式は考えない。
問題 4
社員PCと社内ゲートウェイの間で、社内宛て10.20.0.0/16の通信だけをIPsecトンネルへ通す。一般のインターネット宛て通信は、そのトンネルを通さない設定である。このVPNの保護範囲について正しいのはどれか。
問題 5
状態追跡型ファイアウォールは、内部PCのTCP送信元ポート51000番から、外部WebサーバーのTCP 443番への新規接続を許可し、外部からの新規接続は拒否する。追跡中の許可済み接続に属する戻りのパケットは許可する設定である。説明として正しいのはどれか。