【2026年最新・NW科目B-1 TLS証明書】ネットワークスペシャリスト試験合格対策｜2枠・終端3型
ネットワークスペシャリスト午後I(午後Ⅰ。2026年度からは科目B-1)のTLS・証明書問題は、「どこで終端し何を検証するか」を書き分けるのが定石——この記事の旧版も、そう書いていました。そして「検証すべきは、信頼できるCAへのチェーン・有効期限・ホスト名の一致の3点」と続けていました。
その3点を書かせた設問は、過去9期のNW午後Ⅰに1つもありません。
平成28年度秋期から令和7年度春期までの9期ぶん(令和2年度はIPAの過去問ページにNW午後Ⅰの資料が無いため対象外)、27大問の解答例PDFと採点講評PDFをIPA公式サイトから取得して、解答欄を1つずつ数えました。解答枠は全部で342個。そのうち「証明書」という語がIPAの解答例に現れたのは、2枠だけです。
しかもその2枠は、9年隔てて、ほとんど同じ問題でした。
この記事は、ネットワークスペシャリスト午後IのTLS・証明書問題について、「どこで終端し何を検証するか」の書き分けを、IPAの一次資料を数え直して組み立て直したものです。無料部だけで、何をどう書くかの答えは完結します。
TLS・証明書問題の3つの型は生きている。ただし重みが違う
先に、旧版から引き継ぐ骨格を確認します。TLSが絡む設問は、次の3つの型のどれかに落ちます。
第1の型・終端点: 構成図のどの区間が暗号化され、どの装置で復号されるか。ロードバランサやプロキシで終端すれば、その後ろの区間は平文になる
第2の型・信頼の付け替え: 中間装置がTLSを復号・再暗号化すると、クライアントから見た通信相手はその中間装置になる。だからクライアントは中間装置の証明書を信頼していなければならない
第3の型・可視/不可視: 経路上で見えるのは宛先IPアドレスやSNIのホスト名まで。URLのパスやデータ本体は見えない
旧版と違うのは第2の型です。旧版はここを「証明書検証の3点(チェーン・期限・名前)」として説明していました。一般論としては正しい。しかしIPAが実際に書かせたのは、検証の中身ではなく、誰の証明書を、どこに、なぜ入れるかでした。
NW午後Iの9期27大問・解答枠342個を数えた結果
母集団と数え方を先に置きます。対象は平成28年度秋期・平成29年度秋期・平成30年度秋期・令和元年度秋期・令和3年度春期・令和4年度春期・令和5年度春期・令和6年度春期・令和7年度春期の9期、27大問。IPAが公開している解答例PDFと採点講評PDFを機械的に読み、解答欄を1つ(記号1つ・空欄1つ・記述1つで各1枠)として数えました。
解答枠 342個 = 記述枠(15〜99字) 130 + 短答枠(1〜14字) 199 + 空欄扱い 13
TLS・証明書・暗号に関わる語を含む枠は、記述8 + 短答11 = 19枠。全体の5.6%
語の層で分けると、TLS/SSL/HTTPS/ALPN/SNI/ハンドシェイクが記述3・短答2、証明書・失効・CRL・OCSPなどPKI語は記述0・短答2、暗号/復号/平文/鍵/署名が記述5・短答7
該当した記述枠8個の字数は中央値38.5字、最小15字、最大56字
該当枠を1つ以上含む大問は27問中13問
出題趣旨(IPA自身が書く題材説明)のレベルでTLS・暗号が主題だった大問は、27問中2問だけ(平成29年度秋期問1のSSL-VPN、令和5年度春期問1のHTTP/2とその下位プロトコルとしてのTLS)
ここで効いてくるのが、太字にした行です。PKIの語を含む記述枠はゼロ。チェーン・有効期限・ホスト名の一致を記述で書かせた設問は、9期を通して存在しませんでした。証明書が出てきたのは短答枠が2つ、それだけです。
「証明書」の2枠は、9年隔てて同じ問題だった
「証明書」がIPAの解答例に現れた2枠を、設問文ごと並べます。問題冊子PDFは9期とも画像スキャンでテキストが取れないため、該当ページを画像化してOCRで起こしました(誤読の可能性がある旨は後述します)。
平成30年度秋期 問1(SaaS導入に伴うプロキシとSD-WANの設計)。本文にこうあります。「アクセス先のホスト名は記録されていたが、URLは記録されていなかった。そこで、アクセス先のURLを把握するために、プロキシサーバで暗号化通信を一旦復号し、必要な処理を行った上で再度暗号化した。しかし、社内PCでエラーメッセージ“証明書が信頼できない”が表示されたので、社内PCに［ウ］をインストールして解決した。」
設問2(2)は「本文中の［ウ］に入れる適切な字句を、20字以内で答えよ」。解答例は「プロキシサーバのルート証明書」、14字です。
令和7年度春期 問3(セキュアWebゲートウェイサービスへの移行)。本文はこうです。「SWGサービスはHTTPS通信のコンテンツを調査する機能をもつ。SWGサービスを経由してWebサイトにアクセスするHTTPS通信を信頼させるために、PCに証明書をあらかじめインストールする。」
設問2(1)は「あらかじめPCにインストールする証明書を、20字以内で答えよ」。解答例は「SWGサービスのルート証明書」、14字です。
構図が同じです。中間装置がHTTPSを終端して中を見る。だからクライアントは、その中間装置が発行する証明書を信頼していなければならない。装置の名前がプロキシサーバからSWGサービスに変わっただけで、9年隔てて、字数制限(20字以内)まで一致しています。
そして平成30年度秋期の本文には、第3の型もそのまま埋まっています。「ホスト名は記録されていたが、URLは記録されていなかった」——これが可視/不可視の区別で、だからこそ復号が必要になり、だからこそ証明書の話に繋がる。3つの型は別々の論点ではなく、1つの設問群の中で連鎖しています。
だから、証明書の設問で書くのは1行でいい。ここまでの実測から、証明書が問われたときの答え方は1つに絞れます。
「〈TLSを終端している装置・サービスの名前〉のルート証明書」。以上です。装置名は構成図と本文から取ります。検証の3点も、CRLもOCSPも、書く場所がありません。
逆に言えば、この設問で落とすのは、知識が足りないからではありません。「証明書といえば検証手順」と身構えて、20字の枠に入らないことを書こうとするからです。構成図の上で「誰がTLSを終端しているか」を先に確定させれば、答えは装置名+ルート証明書で決まります。
ここまでが、TLS・証明書問題の書き分けの定石です。
ここから先は、この定石を答案の形に落とすための実測資料です。具体的には、該当した19枠の解答例を期・設問番号・字数つきで全部、IPAが「正答率は低かった」と名指ししたTLS関連の設問8件と講評の原文、実測した語尾分布から起こした解答テンプレート4種(20〜35字)、設問文のどの語を見て型を決めるかの判定表、そして試験直前に見る5行のチェックを置いています。19枠を全部見ると、TLSの設問が「暗号の中身」ではなく「配置」を聞いていることが、もっとはっきりします。
あわせて読みたい
同じネットワークスペシャリストの別論点として、40枠・解答4型まで続けて確認できます。
同じネットワークスペシャリストの別論点として、15秒判定フローまで続けて確認できます。
同じネットワークスペシャリストの別論点として、6中分類と重点2分野まで続けて確認できます。
