【登録セキスペ】令和4年度春期午後2問2の解説（情報処理安全確保支援士試験）
このNoteでは「セキスペ令和4年度春期午後2問2」の解説をします。
模範解答に至る道は勿論。粘り方・別解・部分点の範囲・今後の試験に備えた補強など、専門学校で授業しきれなかった部分も全て詰め込んでます。
解いてみて ”初見で解いた後に不安になる問題" だと思いました。
知識が必要な箇所が多く（CDN, PKCE, nonce, state）、分からないほど、点数にハンデを背負います。
他問題は午後力（問題文からヒントを探す）や過去問（認証関係）で充分対応可能ですが、サーバ穴埋めなど1つ間違うと芋づる失点するリスクがあり、不安が積み上がります。
選択肢やシンプル作文が多いので自己採点は簡単。模範解答が出るまで不安ですね。部分点の希望もないですが、合否は明確。
復習はとっても大変でが、得るものもとっても多いです（CDN, PKCE, nonce, state）。分かるように図解を描きました。
nonceとstateも作図しましたので興味があったらご一読ください。Note作成に2週間かかりました。少しでも時短になったら嬉しいです。
私はSCPMIIを97点で独学合格し、IT専門学校で授業しています。このNoteには、授業で教えていること以上の情報を詰め込みました。
一所懸命に作ったので、信頼して下さったら嬉しいです。
それでは始めましょう！
※午後2は午後1の解法スキルを前提としています。必ず午後1の演習を充分やってから、体力作りに午後2に取り組んでください。
※新SCは午後1本化された令和5年秋以降を指します。
＞【SC：92, 86, 97点の学習ノート】ガチ勢の登録セキスペ合格勉強法
設問1(1)a | 知らないならしゃーない
模範解答は「キャッシュ」サーバ。
※たぶん「エッジ」サーバも正解。
「CDNエッジ」サーバは6文字なので字数超え
知らないと答えられません。勘で埋められた方もいるとは思います。
図2下の「動画が配信」から配信サーバと答えたかもですね。私も「キャッシュ」か「配信」かで迷いました。
調べると「CDNエッジサーバ」も正解みたい。wikipediaにも「CDN事業者が提供する分散されたエッジサーバ（キャッシュサーバ）より配信を行う」とありました。
補強 | CDNのサーバ構成
CDNでは、クライアントのアクセスを受けるのが「CDNエッジサーバ（キャッシュサーバ）」。ご本尊は「オリジンサーバ」と云います。
エッジサーバに要求されたコンテンツがキャッシュされていれば、エッジサーバが返します。キャッシュされてなければ、エッジサーバはオリジンサーバから取り寄せます。
クライアントが指定するFQDNでは、実はオリジンサーバにはつながりません。DNSサーバが誘導するのは、「近場」のCDNエッジサーバ。ご本尊のオリジンサーバではない。
ここで「近場」とは地理的というより、ネットワーク的な距離を考慮。経由する機器の数（ホップ数）などで計測される距離。実際は地理的近さと似ちゃうでしょうけどね。＞【ネスペ】ルーティングプロトコルのNote
設問1(2)b | DoSではダメ、EDoSは防げない
模範解答は「DDoS」攻撃。
【空欄b】前に「X社動画サーバの負荷が軽減」から、DoS攻撃かなと推測できます。そもそもサーバへの攻撃で名前付いてるの少ないですし。
ただDoS攻撃ではたぶん不正解。DoS攻撃は送信元IPアドレスが1つなので、遮断すれば対策できますから。
DDoS攻撃は、多数の送信先から（通常と見なされる）少ないアクセスなので、攻撃だと検知できないから厄介でした。CDNがDDoS攻撃に有効なのは魅力的。
DDoS攻撃にCDNが有効なのは、DDoS攻撃のパケットを多数のCDNキャッシュサーバが分散して受けるから。
ご本尊のWebサーバの身代わりにCDNキャッシュサーバが受けてくれますし。攻撃元から近いサーバが受けるので、パケットも分散されます。また元々CDNは大量アクセスに耐性ある性能/回線を備えてもいます。
一方で、CDNの利用料はアクセス数で増える従量課金であると、支払いが増える面は解決しません。DDoS攻撃でダウンするリスクは減少しましたが、「EDoS攻撃」は回避できないと解釈できます。
※「EDoS攻撃」は大量アクセスで経済的ダメージを与えること。
設問1(3)c | エッジサーバの動作
模範解答は「Host」
知らなければ仕方ないです。
クライアントは、目当てのサーバへアクセスしようとFQDNの名前解決（FQDN→IPアドレス）をしますが、DNSサーバによって近場のCDNエッジサーバに誘導されます。
クライアントがCDNエッジサーバへ要求する時に、HostヘッダにFQDNを添えます。
エッジサーバは、要求されたコンテンツをキャッシュしていたらクライアントに見せてあげます。なかったら「Host」に記載のFQDNに従ってオリジンサーバへアクセスしてコンテンツを取り寄せます。
図3, 4, 5を図解で理解
図3設定と図4動作を下図に描きました。
図5攻撃の手口を図に描きました。赤に注目。
Hostヘッダに攻撃サーバを載せて、CDNを攻撃サーバにｱｸｾｽされる手口を「ドメインフロンティング攻撃」と云います。HostヘッダはTLS暗号化されて外から見えないので、FWなどでは検知できません。
