出典: KRUTZ、Ronald L. & VINES、Russel D.、『CISSP Prep Guide: Mastering the Ten Domains of Computer Security』、2001 年、John Wiley & Sons、36 ページ。

説明/参照:
重複する機能を提供する 2 つの異なるプロトコルがあるのは奇妙に思えるかもしれません。
AH は認証と整合性を提供し、ESP はこれら 2 つの機能と機密性を提供します。
では、なぜわざわざ AH にこだわるのでしょうか?
ほとんどの場合、その理由は、環境でネットワーク アドレス変換 (NAT) が使用されているかどうかに関係します。IPSec は、パケットの一部にわたって完全性チェック値 (ICV) を生成します。これは実際には MAC 値と同じものです。送信者と受信者が独自の値を生成することに注意してください。IPSec では、ICV 値と呼ばれます。受信者は自分の ICV 値を送信者によって送信された値と比較します。値が一致すると、受信者はパケットが送信中に変更されていないことを保証できます。値が異なる場合、パケットは変更されており、受信側はパケットを破棄します。
AH プロトコルは、データ ペイロード、トランスポート、およびネットワーク ヘッダーに基づいてこの ICV を計算します。その後、パケットが NAT デバイスを通過すると、NAT デバイスはパケットの IP アドレスを変更します。それがその仕事です。
これは、ICV 値を計算するために含まれていたデータの一部 (ネットワーク ヘッダー) が変更され、受信側がパケットとともに送信されたものとは異なる ICV 値を生成することを意味します。これは、パケットが自動的に破棄されることを意味します。 。
ESP プロトコルは、ICV 値を計算するときにネットワーク ヘッダー部分が含まれないことを除いて、同様の手順に従います。NAT デバイスが IP アドレスを変更しても、ICV の計算時にネットワーク ヘッダーが含まれないため、受信者の ICV 値には影響しません。
以下は、Shon Harris ブログの IPSEC に関するチュートリアルです。
インターネット プロトコル セキュリティ (IPSec) プロトコル スイートは、2 つのデバイス間で保護されたデータ交換のための安全なチャネルをセットアップする方法を提供します。この安全なチャネルを共有するデバイスは、2 つのサーバー、2 つのルーター、ワークステーションとサーバー、または異なるネットワーク間の 2 つのゲートウェイです。IPSec は、ネットワーク層の保護を提供するための標準として広く受け入れられています。エンドツーエンドおよびリンク暗号化方式よりも柔軟性が高く、コストも低くなります。
IPSec には強力な暗号化および認証方法があり、2 台のコンピュータ間のトンネル通信を可能にするために使用できますが、通常はインターネット上のネットワーク間で仮想プライベート ネットワーク (VPN) を確立するために使用されます。
IPSec は、使用するアルゴリズム、キー、認証方法の種類を決定する厳密なプロトコルではありません。
むしろ、これはオープンなモジュール式フレームワークであり、企業がこのタイプのテクノロジーの使用を選択する際に大きな柔軟性を提供します。IPSec は、認証ヘッダー (AH) とカプセル化セキュリティ ペイロード (ESP) という 2 つの基本的なセキュリティ プロトコルを使用します。AH は認証プロトコルであり、ESP は暗号化メカニズムを使用してソース認証、機密性、メッセージの整合性を提供する認証および暗号化プロトコルです。
IPSec は、メッセージのペイロードが保護されるトランスポート モードと、ペイロード、ルーティングおよびヘッダー情報が保護されるトンネル モードの 2 つのモードのいずれかで動作します。トランスポート モードの ESP は実際のメッセージ情報を暗号化するため、不正なエンティティによってメッセージが盗聴されたり、暴かれたりすることはありません。トンネル モードは、攻撃者が有用だと考えるヘッダー データとトレーラー データも保護することで、より高いレベルの保護を提供します。図 8-26 は、IPSec 接続を設定する手順の概要を示しています。
各デバイスは、使用する VPN ごとに少なくとも 1 つのセキュリティ アソシエーション (SA) を持ちます。SA は、IPSec アーキテクチャにとって重要であり、デバイスが IPSec 接続をサポートするために必要な構成の記録です。2 つのデバイスがハンドシェイク プロセスを完了すると、つまり通信に使用するパラメータの長いリストに同意したことになり、これらのデータは SA 内のどこかに記録され、保存される必要があります。
SA には、認証キーと暗号化キー、合意されたアルゴリズム、キーの有効期間、および送信元 IP アドレスを含めることができます。デバイスが IPSec プロトコル経由でパケットを受信すると、そのパケットをどのように処理するかをデバイスに指示するのは SA です。したがって、デバイス B が IPSec 経由でデバイス C からパケットを受信した場合、デバイス B は対応する SA を参照して、パケットの復号化方法、パケットの送信元を適切に認証する方法、使用するキー、および応答方法を通知します。必要に応じてメッセージを入力します。
SA には方向性があるため、デバイスには、個々の通信チャネルごとに、アウトバウンド トラフィック用に 1 つの SA があり、インバウンド トラフィック用に別の SA があります。デバイスが 3 つのデバイスに接続している場合、リモート デバイスごとに受信接続と送信接続ごとに 1 つずつ、少なくとも 6 つの SA が必要になります。では、デバイスはどのようにしてこれらすべての SA を整理し、適切な接続に対して適切な SA が確実に呼び出されるようにできるのでしょうか? 強力なセキュリティ パラメーター インデックス (SPI) を使用すると、それが実現します。各デバイスには、さまざまな SA を追跡し、受信したさまざまなパケットに対してどの SA を呼び出すのが適切かをデバイスに指示する SPI があります。SPI 値は IPSec パケットのヘッダーにあり、デバイスはこの値を読み取り、どの SA を参照するかを指示します。
IPSec は、MAC を使用してパケットの送信デバイスを認証できます (前のセクションで説明しました)。
「一方向ハッシュ」)。ESP プロトコルは、デバイスがこのタイプの機能用に構成されている場合、認証、整合性、機密性を提供できます。
したがって、企業が送信者の送信元を確実に把握し、パケットの完全性を保証する必要がある場合は、AH の使用を選択するでしょう。企業がこれらのサービスを使用し、機密性も確保したい場合は、暗号化機能を提供する ESP プロトコルを使用することになります。ほとんどの場合、ESP が使用される理由は、企業が安全な VPN 接続を設定する必要があるためです。
重複する機能を提供する 2 つの異なるプロトコルがあるのは奇妙に思えるかもしれません。AH は認証と整合性を提供し、ESP はこれら 2 つの機能と機密性を提供します。では、なぜわざわざ AH にこだわるのでしょうか? ほとんどの場合、その理由は、環境でネットワーク アドレス変換 (NAT) が使用されているかどうかに関係します。IPSec は、パケットの一部にわたって完全性チェック値 (ICV) を生成します。これは実際には MAC 値と同じものです。送信者と受信者が独自の値を生成することに注意してください。IPSec では、ICV 値と呼ばれます。受信者は自分の ICV 値を送信者によって送信された値と比較します。値が一致すると、受信者はパケットが送信中に変更されていないことを保証できます。値が異なる場合、パケットは変更されており、受信側はパケットを破棄します。
AH プロトコルは、データ ペイロード、トランスポート、およびネットワーク ヘッダーに基づいてこの ICV を計算します。その後、パケットが NAT デバイスを通過すると、NAT デバイスはパケットの IP アドレスを変更します。それがその仕事です。
これは、ICV 値を計算するために含まれていたデータの一部 (ネットワーク ヘッダー) が変更され、受信側がパケットとともに送信されたものとは異なる ICV 値を生成することを意味します。これは、パケットが自動的に破棄されることを意味します。 。
ESP プロトコルは、ICV 値を計算するときにネットワーク ヘッダー部分が含まれないことを除いて、同様の手順に従います。NAT デバイスが IP アドレスを変更しても、ICV の計算時にネットワーク ヘッダーが含まれないため、受信者の ICV 値には影響しません。
IPSec はフレームワークであるため、どのハッシュ アルゴリズムや暗号化アルゴリズムを使用するか、またはデバイス間でキーをどのように交換するかを指定しません。キー管理は手動で処理することも、キー管理プロトコルによって自動化することもできます。IPSec の事実上の標準は、ISAKMP プロトコルと OAKLEY プロトコルを組み合わせた Internet Key Exchange (IKE) を使用することです。Internet Security Association and Key Management Protocol (ISAKMP) は、使用されるキーイング メカニズムの種類に依存しないキー交換アーキテクチャです。基本的に、ISAKMP は、IPSec 接続を設定するためにネゴシエートできる内容 (アルゴリズム、プロトコル、モード、キー) のフレームワークを提供します。OAKLEY プロトコルは、ネゴシエーション プロセスを実行するプロトコルです。ISAKMP は競争の場 (インフラストラクチャ) を提供し、OAKLEY は競争の場を駆け巡る (交渉のステップを実行する) と考えることができます。
IPSec は、そのすべてのコンポーネントと可能な構成を含めて非常に複雑です。企業には適切なレベルの保護を達成するためにさまざまな構成の選択肢があるため、この複雑さによって高度な柔軟性が実現します。これがすべて初めてで、まだ混乱している場合は、次の参考文献を 1 つ以上確認して、灰色の部分を埋めてください。
次の答えは正しくありません。
他のオプションは気を散らすものです。
この質問を作成するために次の参考資料が使用されました。
Shon Harris、CISSP オールインワン試験ガイド - 第 5 版、759 ページ
そして
https://neodean.wordpress.com/tag/security-protocol/

発行者が失効要求を受け取ってから発行者が証明書を失効する必要があるまでの時間は、適切な証明書が発行者に依存される可能性があると参加者が想定するリスクの量と合理的な関係があるはずです。呼び出しリクエストは送信されましたが、まだ対応されていません。
失効リクエストをどのくらい早く処理する必要があるか (および CRL または証明書ステータス データベースを更新する必要があるか) は、ポリシー当局が証明書ポリシーを策定している特定のアプリケーションによって異なります。
政策当局は、失効通知の猶予期間に関してリスクと損失のトレードオフが存在する可能性があることを認識する必要があります。
PKI 参加者が実装コストの削減と引き換えに数時間の猶予期間を受け入れる意思があると政策当局が判断した場合、証明書ポリシーはその決定を反映する可能性があります。

アクセス制御は、システムの管理者がシステムの動作、使用、およびコンテンツに対して指示または抑制する影響を行使できるようにするメカニズムの集合です。これにより、管理者は、ユーザーが実行できること、アクセスできるリソース、およびシステム上で実行できる操作を指定できます。ハッカーを抑制する方法を指定することは、アクセス制御に直接関係しません。出典: DUPUIS、Clement、Access Control Systems and Methodology、バージョン 1、2002 年 5 月、CISSP Open Study Group Study Guide for Domain 1、12 ページ。