日本語
メニュー

TLSとは

てぃーえるえす

Transport Layer Securityの略。通信の暗号化、改ざんの検出、証明書によるサーバの認証を行うプロトコル。HTTPSはHTTPをTLSで保護したもの。

「TLS」は、4分野の10問の練習問題に出てきます(ネットワークの基礎, Web技術の基礎, 情報セキュリティの基礎など)。

この用語の分野: ネットワークの基礎

TLSの練習問題に挑戦

RTT(往復の時間)が100 msのWebサーバに、HTTPS(TCPの上のTLS 1.3)で新しく接続し、最初のリクエストを送って応答を受け取り始めるまでにかかる時間に最も近いものはどれか。DNSの名前解決は済んでおり、サーバの処理時間とデータの転送時間は無視する。

  1. A約100 ms
  2. B約300 ms
  3. C約200 ms
答えと解説を見る

正解：B. 約300 ms

まずTCPの3ウェイハンドシェイクで1往復かかります(クライアントは最後のACKと一緒にTLSの最初のメッセージを送れます)。次にTLS 1.3のハンドシェイクで1往復、その後にHTTPのリクエストと応答で1往復かかり、合計で3往復、3 × 100 = 300 msです。TLS 1.2では鍵の交換に2往復かかるため、4往復の400 msになります。この待ち時間は距離で決まるRTTの回数で決まるので、回線の帯域を増やしても短くなりません。HTTP/3で使われるQUICは、トランスポートと暗号のハンドシェイクを1往復にまとめ、再接続のときには最初の往復でデータを送る方法(0-RTT)も用意しています。

HTTPS(HTTPをTLSで保護した通信)で守られることとして正しいものはどれか。

  1. A接続先のWebサイトの運営者が、悪意のない信頼できる人や組織であること
  2. B通信していること自体や、接続先のサーバのIPアドレスが、途中の経路から見えないこと
  3. C通信の内容を途中で盗み見られたり書き換えられたりしないことと、接続先のサーバが証明書のドメイン名の正当な持ち主であること
答えと解説を見る

正解：C. 通信の内容を途中で盗み見られたり書き換えられたりしないことと、接続先のサーバが証明書のドメイン名の正当な持ち主であること

TLSは、通信の暗号化(機密性)、改ざんの検出(完全性)、サーバの認証の3つを提供します。サーバは証明書を提示し、ブラウザは信頼する認証局(CA)の署名をたどって証明書が正しいかを確かめ、URLのドメイン名と一致するかも確かめます。ただし、確かめられるのは「そのドメイン名の持ち主と通信している」ことまでで、サイトの運営者が善良かどうかは分かりません。詐欺のサイトでも、自分のドメイン名の証明書は取得できます。また、IPヘッダは暗号化されないので、どのIPアドレスと、いつ、どれくらいの量を通信しているかは、途中の経路から見えます。

解説の中の「TLS」

「TLS」が出てくる問題(10問)

  1. RTT(往復の時間)が100 msのWebサーバに、HTTPS(TCPの上のTLS 1.3)で新しく接続し、最初のリクエストを送って応答を受け取り始めるまでにかかる時間に最も近いものはどれか。DNSの名前解決は済んでおり、サーバの処理時間とデータの転送時間は無視する。
  2. HTTPS(HTTPをTLSで保護した通信)で守られることとして正しいものはどれか。
  3. TLSで、ブラウザが接続先のサーバを「なりすましではない」と判断できる理由として正しいものはどれか。
  4. RTTが40 msのWebサーバから、HTMLを1つと、そこから参照される画像を4つ、1つずつ順番に取得する。TCPの接続の確立に1往復、各リクエストと応答に1往復かかるとし、データの転送時間、サーバの処理時間、TLS、接続の切断は考えない。オブジェクトごとに新しいTCP接続を張る場合と、1つのTCP接続を使い回す持続的接続の場合とで、かかる時間の差はどれか。
  5. 1.5 MBのテキストのデータを、gzipで3分の1の大きさに圧縮して送る。帯域が10 Mbps、RTTが100 msで、データを送り始める前に、TCPの接続、TLSのハンドシェイク、HTTPのリクエストで合わせて3往復かかるとする。1 MB = 10^6 バイトとし、圧縮と展開の時間、ヘッダ、TCPの輻輳制御による待ちは無視する。データを受け取り終えるまでの時間に最も近いものはどれか。
  6. ファイアウォール(パケットフィルタリング型)の基本的な働きとして正しいものはどれか。
  7. インターネットVPNの説明として正しいものはどれか。
  8. リバースプロキシの説明として、正しいものはどれか。
  9. 大きなファイルを相手に暗号化して送るとき、よく使われるハイブリッド暗号方式の手順として正しいものはどれか。
  10. Kubernetesのクラスタで、1つのホスト名に届いたHTTPSの要求のうち、パスが /api で始まるものは api のServiceへ、それ以外は web のServiceへ振り分けたい。この振り分けの規則を定めるのに適したリソースはどれか。

ネットワークの基礎の参考書を探す PR

Amazonの検索結果へのリンクです。Amazonのアソシエイトとして、半導体教室は適格販売により収入を得ています。

関連する用語

HTTP リバースプロキシ DNS 3ウェイハンドシェイク 公開鍵暗号 共通鍵暗号 Kubernetes Pod ARP OSI参照モデル

用語集の一覧へ