平成24年度秋期 情報処理安全確保支援士 午前Ⅰ 問13

ワンタイムパスワードは“使い捨ての合い鍵”だよ

固定パスワードは同じ鍵を何度も使うイメージだけど、ワンタイムパスワードは毎回変わる使い捨ての鍵みたいなものだよ。だから、通信を盗み見されてあとから同じ情報を再送されるリプレイ攻撃に強いんだ。

この問題で問われていること

いつも同じ認証情報を使う固定パスワードと、毎回変わるワンタイムパスワードの違いを見分けよう。ポイントは“盗まれた情報をもう一度使われても通るかどうか”だよ。

One-Time Password

one-time passwords are valid only once、 making replay attacks more difficult

single use\nreplay resistant

確認ポイント

• 固定のまま何度も使うものではありません。
• 一回限りの利用です。
• OTP を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。クッキーは、利用者側が勝手に『各サーバ用の認証済みチケット』を作って配るものではないんだ。映画館でお客さんが自分でチケットを印刷して入れるわけではなく、正しい窓口が発行したチケットだから信用される、という感じだよ。認証情報を含むクッキーはサーバ側の仕組みで発行・検証されるので、『クライアントで生成し、各サーバ上で保存、管理する』という説明は間違いだよ。

選択肢イ

不正解だよ。クッキーを使ったシングルサインオンでは、クッキーを共有できる範囲がポイントになるんだ。たとえば同じ建物内なら入館証を見せ回せるけど、まったく別会社の別ビルではそのまま通じにくい、というイメージだね。だから『異なるインターネットドメインに配置する必要がある』ではなく、むしろ同じドメイン配下など、クッキーを適切に扱える配置が必要になるよ。

選択肢ウ

不正解だよ。リバースプロキシ型では、利用者はまず入口のリバースプロキシにアクセスし、そこから内部のWebサーバへ案内される仕組みなんだ。デパートの総合受付を通って各売り場に行くようなものだね。認証対象のWebサーバを『異なるインターネットドメインに配置する必要がある』わけではないよ。

選択肢エ（正解）

正解だよ。リバースプロキシ型では、入口の受付係みたいなサーバが利用者をまとめて認証してから、奥のWebサーバへ通してくれるんだ。この受付で『合言葉＝パスワード』の代わりに『顔写真付き身分証＝ディジタル証明書』を使うこともできるよ。だから、パスワードの代わりにディジタル証明書を用いることができる、という説明は正しいんだ。