平成22年度秋期 情報処理安全確保支援士 午前Ⅱ 問1

玄関のドアマン（リバースプロキシ）が1回だけ身分証をチェックして、中の全ての部屋に入れるようにする（SSO）

複数のシステムに1回のログインで入れる「シングルサインオン（SSO）」の「リバースプロキシ型」についての問題だよ。この方式では、ユーザーが社内システムにアクセスする手前に「リバースプロキシサーバー（身代わり窓口）」を置くんだ。そこでIDやパスワード、あるいは「デジタル証明書」を使って本人確認（認証）を一括で行うことで、後ろにある複数のWebシステムに毎回ログインし直すことなく安全に通してもらえるんだよ。

この問題で問われていること

リバースプロキシ型のSSOにおいて、認証処理をどこで（前段のプロキシで）まとめて行い、その際の認証手段としてデジタル証明書なども利用できることを説明した正しい文章を選び出そう。

リバースプロキシ型 SSO

リバースプロキシ型では、前段装置が認証を担当し、背後の複数の Web サーバには認証済みとしてアクセスさせます。証明書認証を組み合わせることもできます。

利用者 -> リバースプロキシで認証\n証明書認証も利用可\n-> 複数サーバへ連携

確認ポイント

• 各サーバを別々のドメインに置く必要がある、という説明は不自然です。
• Cookie を各サーバで保存・管理する、という説明は誤りです。
• 前段認証で証明書も使える説明を選びます。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。クッキーはクライアント側に保存されるけれど、認証情報を利用者側で勝手に作らせたら、泥棒が自分で通行証を作れてしまうよね。実際には、サーバ側が信頼できる形でクッキーを発行し、必要に応じて検証するんだ。各サーバ上でクッキーそのものを保存・管理するという説明も正確ではないよ。

選択肢イ

これは不正解だよ。クッキー方式のシングルサインオンでは、クッキーは基本的に同じドメイン内で使うものなんだ。別々の家の鍵を一つの合鍵で開けようとしても、その鍵が届く範囲には制限がある、というイメージだよ。だから各サーバを異なるインターネットドメインに配置する必要がある、という説明は逆だね。

選択肢ウ

これは不正解だよ。リバースプロキシ方式は、入口にいる受付係みたいなプロキシが先に本人確認して、後ろのWebサーバへ通してくれる仕組みなんだ。各Webサーバを別々のインターネットドメインに置く必要はないよ。むしろ入口をまとめるから、利用者から見ると一つの窓口で済むイメージだね。

選択肢エ（正解）

これは正解だよ。リバースプロキシ方式では、入口の受付係が利用者を認証するので、その確認方法はパスワードだけに限られないんだ。社員証を見せる代わりに顔写真付き身分証を使えるように、ディジタル証明書を使って本人確認することもできるよ。