第6章 · ネットワーク·v1.0.0·更新 2026/7/9·読了目安 約16分
変更要約: 初版
6.2主要プロトコルとネットワーク応用
この節の要点
HTTP/HTTPS、名前解決を担うDNS（再帰問い合わせ・キャッシュ）、DHCP、SMTP/POP3/IMAPなどのメールプロトコル、フォワードプロキシ・リバースプロキシ、REST、cookie・セッションIDによるセッション管理を、それぞれの攻撃面と安全な設計判断とあわせて学びます。
ネットワーク応用プロトコルの多くは1980-90年代に「性善説」を前提として設計されたため、プロトコルの標準動作そのものに攻撃面が内在しています。DNSの再帰問い合わせはキャッシュポイズニングの温床になり得ますし、cookieによるセッション管理はセッションハイジャックの対象になり得ます。この節では各プロトコルの動作を理解した上で、「どこに攻撃面があり、どう設計すればリスクを下げられるか」を判断する力を養います。
6.2.1HTTP/HTTPS
- HTTP＝Webのアプリケーション層プロトコルで、それ自体は平文通信のため通信内容の盗聴・改ざん（中間者攻撃）に無防備。HTTPSはHTTPをTLSで暗号化した方式で、通信の機密性（盗聴防止）・完全性（改ざん検知）・サーバ認証（正当なサーバへの接続確認）を提供する。
- HTTPSを導入していても、証明書の検証を省略する実装や古いTLSバージョン(SSLv3/TLS1.0等)を許容する設定では中間者攻撃のリスクが残る。SSL/TLS暗号設定ガイドラインに沿って推奨暗号スイート・プロトコルバージョンのみを許可する設計判断が必要。
6.2.2DNS（名前解決・再帰問い合わせ・キャッシュ）
- DNS＝ドメイン名とIPアドレスを対応付ける名前解決の仕組み。クライアントからの問い合わせを受けたキャッシュDNSサーバが、権威DNSサーバへ順にたどって解決する再帰問い合わせと、権威DNSサーバ同士が答えられる範囲だけ答える反復問い合わせがある。
- 解決結果をキャッシュすることで再問い合わせの負荷を減らせる一方、偽の応答をキャッシュに注入するDNSキャッシュポイズニングの対象になる。対策は問い合わせIDのランダム化・送信元ポートのランダム化に加え、応答の正当性をデジタル署名で検証するDNSSECの導入が根本対策。
- メール送信ドメイン認証で使うSPF・DKIM・DMARCもDNSのTXTレコードを使う仕組みであり、DNSインフラ自体の堅牢性（キャッシュポイズニング対策・ゾーン転送制限）がこれら認証の信頼性の前提になる。