TLS インスペクション（SSL可視化）

TLSインスペクションは、暗号化されたTLSの通信を、ネットワークの境界でいったん復号して中身を検査し、再び暗号化して送る仕組みです。

■ 試験で押さえるポイント

• 暗号化された通信の中に隠れたマルウェアや攻撃を見つけられます。

• 復号のために、端末に検査装置の証明書を信頼させる必要があります。

• 処理の負荷が高く、プライバシーへの配慮も必要です。

■ 過去問での着眼点

暗号化された通信も検査できる反面、負荷とプライバシーの課題がある点を押さえます。

例: 社内からのHTTPSの通信をプロキシで復号して検査し、マルウェアのダウンロードを止めます。

■ 復号する位置と信頼の追加

• TLSインスペクションでは、装置が端末とのTLSと接続先とのTLSを別々に終端する。端末に装置のCAを信頼させる必要があり、装置側も接続先の証明書を正しく検証する。

• 端末が装置の証明書を受け入れたことだけで、本来の接続先が正当とはいえない。CA秘密鍵の保護、用途、配布範囲、証明書交換と失効の手順を管理する。

• 証明書ピンニング、相互TLS、未対応プロトコルなどでは復号できない場合がある。例外通信を無条件に安全とは扱わず、接続先制限や端末・アプリのログで補う。復号による性能と機密情報へのアクセスも管理する。