平成23年度秋期 情報処理安全確保支援士 午後Ⅰ 問5

問05：仮パスワードのURLも大事なカギだよ

パスワード初期化では、仮パスワードそのものだけじゃなくて、それを取りに行くページのURLも守る必要があるよ。たとえば、家の合鍵を受け取る場所をメールで知らせるようなもの。利用者より先に誰かがそのURLへアクセスすると、仮パスワードを横取りされてしまうんだ。

この問題で問われていること

通知メールはただのお知らせではなく、認証の大事な入口だよ。メールの中のURLが他人に見られたり先に使われたりすると、認証フロー全体の安全性が崩れると気づけるかがポイントだよ。

Temporary Password Theft

an attacker can steal a temporary password by intercepting the notification URL and accessing the retrieval page before the legitimate user

intercept notification mail\naccess retrieval page first\nsteal temporary password

確認ポイント

• 通知 URL も秘密情報として扱う。
• 利用者より先のアクセスが攻撃になる。
• 仮パスワード本体だけを守ればよいわけではありません。

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000003ojp-att/2011h23a_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000003ojp-att/2011h23a_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000003ojp-att/2011h23a_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。