SC情報処理安全確保支援士試験午後Ⅰ

平成25年度秋期情報処理安全確保支援士午後Ⅰ 問2

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

スマートフォンの普及によって，スマートフォン上で動作するアプリケーションが数多く公開されている。しかし，スマートフォンアプリケーションのセキュリティ対応はまだ普及しておらず，注意が必要な状況である。本問では，スマートフォンアプリケーションを用いたサービスにおいてセキュリティ上考慮すべき点について出題した。認証の仕組み，実装上注意すべき点，及び脆ぜい弱性への対応能力について問う。

解き方のヒントを見る

問02：アプリの中身は見られる前提で守ろう

スマホアプリに予約コードや秘密の値を入れておくのは、カバンに鍵を入れて外に置いておくようなものだよ。リバースエンジニアリングで中身を読まれる前提で考えて、予約コードや時刻のずれみたいな大事なパラメタはサーバ側で照合し、不正利用を防ぐ設計にしよう。

この問題で問われていること

スマホアプリを「中身は見えない箱」と思い込まず、解析されても困らないようにサーバ側でチェックする設計ができるかがポイントだよ。

Smartphone App Security Design

smartphone app security assumes reverse engineering is possible、 so the server must validate reservation codes and timing parameters instead of trusting the app

assume reverse engineering\ndo not trust embedded values\nvalidate parameters on server

確認ポイント

アプリ内情報は秘匿できない前提にする。
サーバ側で予約コードを照合する。
時刻ずれ条件も検証する。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p900000027za-att/2013h25a_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p900000027za-att/2013h25a_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p900000027za-att/2013h25a_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成25年度秋期情報処理安全確保支援士試験午後Ⅰ 問2（公式資料：問題冊子（PDF）／解答例／採点講評）

平成25年度秋期 情報処理安全確保支援士 午後Ⅰ 問2

問題