IPsec 【Security Architecture for Internet Protocol】

概要

IPsec（Security Architecture for Internet Protocol）とは、インターネットなどのTCP/IPネットワークで暗号通信を行うためのプロトコル(通信規約)の一つ。IPデータグラムを暗号化し、IPを用いるすべての通信を保護することができる。

IPネットワーク上の二台の機器の間で「SA」（Security Association）という伝送経路を確立し、継続的に暗号化された通信を行う。SAは一方からもう一方への片方向のコネクションであるため、双方向に暗号化したい場合は2本のSAを確立する。

接続の確立

SAを確立するには「ISAKMP」（Internet Security Association and Key Management Protocol）というプロコトルで通信を行い、通信相手の認証、暗号アルゴリズムの設定、暗号鍵の交換・共有などを行う。鍵交換は標準では「IKE」（Internet Key Exchange）が用いられるが、双方が対応していれば他の手順も選択できる。

データ伝送

SA上でのデータ伝送には2つのプロトコルが用いられる。「AH」（認証ヘッダ：Authentication Header）は送信元の認証（なりすまし防止）とメッセージ認証コード（MAC）による改竄検知が可能だが、データは暗号化しないため覗き見を防止することはできない。

「ESP」（Encapsulated Security Payload）は伝送データ本体（ペイロード）を暗号化して覗き見から保護する。送信元の認証はできなかったが、追加仕様で認証とペイロード部の改竄検知も可能となった。AHとESPを併用することもできる。

動作モード

IPsecでは二つの動作モードが用意されており、IPヘッダ部分はそのままで、送受信するデータ本体（ペイロード）部分のみを暗号化する「トランスポートモード」と、元のIPヘッダを暗号化して新しいIPヘッダを付け加えることによりパケット全体を暗号化する「トンネルモード」がある。

トンネルモードは末端のパソコンなどの機器がIPsecに対応していなくても、インターネットへの出入り口にあるルータやVPNゲートウェイが対応していればネットワーク間を暗号化して接続することができる。ネットワーク単位のVPNの構築などに利用される。

(2024.9.2更新)

他の辞典による解説 （外部サイト）

この記事を参照している文書など （外部サイト）

この記事の著者 ： (株)インセプト IT用語辞典 e-Words 編集部
1997年8月より「IT用語辞典 e-Words」を執筆・編集しています。累計公開記事数は1万ページ以上、累計サイト訪問者数は1億人以上です。学術論文や官公庁の資料などへも多数の記事が引用・参照されています。
ホーム画面への追加方法
1.ブラウザの 共有ボタンのアイコン 共有ボタンをタップ
2.メニューの「ホーム画面に追加」をタップ
閉じる