平成23年度秋期 情報処理安全確保支援士 午前Ⅰ 問13

ログインのたびに使い捨てるから、途中で盗み見られても二度と悪用できない「ワンタイムパスワード」

セキュリティ対策「ワンタイムパスワード」のメリットの問題だよ。毎回ログインする時に「30秒だけ有効な使い捨ての数字」を発行する仕組み。万が一、ハッカーが通信を盗み見てそのワンタイムパスワードを手に入れたとしても、それはもう『使用済み』で二度と使えないから、パスワードの再利用（リプレイ攻撃）によるなりすましログインを完璧に防げるんだ。

この問題で問われていること

固定のパスワードと異なり、「一度送信した認証用データは無効になり再利用できないため、盗聴したログインデータを再送して認証を突破するリプレイ攻撃に対して非常に強い」利点を選ぼう。

One-Time Password

one-time passwords are valid for only one use、 making replay harder

single-use\nreplay resistant

確認ポイント

• 固定認証情報ではありません。
• 一度使うと無効になる。
• OTP を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。受信者の公開鍵は、主に受信者だけが読めるようにメッセージを暗号化するときに使う鍵だよ。たとえるなら、受信者宛ての鍵付きポストの投入口みたいなもの。デジタル署名を作る「本人確認の印鑑」ではないんだ。

選択肢イ

これは不正解だよ。受信者の秘密鍵は、受信者が自分宛てに暗号化されたメッセージを開けるための鍵だよ。たとえるなら、受信者の家の合鍵みたいな大事なもの。発信者が署名を作るために使うものではないし、発信者が持っていてはいけないよ。

選択肢ウ

これは不正解だよ。発信者の公開鍵は、受信者側が「この署名は本当に発信者のものかな？」と確認するための鍵なんだ。たとえるなら、印鑑そのものではなく、印影を照合する見本みたいなものだよ。署名を作る鍵ではないよ。

選択肢エ（正解）

これは正解だよ。デジタル署名を作るときは、発信者だけが持っている秘密鍵を使うんだ。たとえるなら、本人しか押せない特別な印鑑で「これは私が送ったよ」と印を付ける感じだね。だから署名の作成には発信者の秘密鍵を使うよ。