情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

解答は「クライアント証明書によるデバイス認証を行う仕組み」となっていますが、FWで認証を行うことができるのでしょうか。

https://www.sc-siken.com/bbs/1163.html
こちらのスレッドでも同様の質問がされていますが、恥ずかしながら読んでも疑問が解決しませんでした。

FWはプライベート認証局の証明書を持っているということでしょうか。
どこがどうやってクライアント証明書の検証を行うかを理解したいです。
(Daas-Vで証明書の検証を行う仕組みは理解できますが、FWでも検証できるというのが腑に落ちないです。)

すみません、タイトルに午後IIのIIが抜けておりました。

もう3週間経っているので質問者さんは見ていないかもしれませんが、回答しておきます。

> FWはプライベート認証局の証明書を持っているということでしょうか。
それはそうだと思います。

> DaaS-Vで証明書の検証を行う仕組みは理解できますが、FWでも検証できるというのが腑に落ちないです。
おそらく、「証明書の検証は通信の両端しかできないはずなのに、どうして中間に位置するFWが証明書検証ができるのか」という話だと思います。
これは「FWのVPN機能」という表現が話をややこしくしているのではないかと思います。
確かにファイヤウォールは通っている通信の証明書を検証することはできません。しかし、FWのVPN機能というのはつまりFW機器にVPNサーバーが内蔵されているという話をしています。
もっとわかりやすく表現すると、FWという名前の1つの機器にファイヤウォール機能とVPNサーバー機能という2つの機能が備わっていて、ここでは後者の機能の話をしているということです。

VPNサーバーとPCの間でVPN接続を行ってから、それを使ってさらにファイルサーバーなどとPCの間で接続をして実際のサービスを利用するという流れです。
VPNサーバーはVPN接続という通信の当事者ですから、DaaSと同様に証明書の検証を行うことができます。

かつて商用のファイアウォールはチェックポイント社のFireWall-1がデファクトスタンダードで、その製品名は「VPN-1/FireWall-1」でした。
出題者は（ネットワーク機器型の）ファイアウォールがVPNゲートウェイを兼ねているのが業界の常識と考えているのでしょう。