平成25年度春期 情報処理安全確保支援士 午前Ⅱ 問5

午前II 問05：暗号装置の“反応”から秘密を探る攻撃だよ

これは、入力データやSQL文を細工してシステムの中身を直接だます攻撃ではないよ。暗号装置が動くときの処理時間、消費電力、エラーの出方みたいな“外ににじみ出るヒント”を観察して、秘密鍵などの機密情報を推測する攻撃なんだ。たとえるなら、金庫をこじ開けるのではなく、ダイヤルを回したときの音や手応えから番号を当てにいく感じだよ。

この問題で問われていること

SQLインジェクションのような論理的に仕掛ける攻撃と、暗号装置の副作用やエラー情報を観測して情報を得る物理観測型の攻撃を区別できるかがポイントだよ。

Side-Channel Attack

side-channel attacks infer secrets from physical characteristics such as timing、 power consumption、 or error behavior of the target device

timing information\npower consumption\nerror behavior\ninfer secret values

確認ポイント

• SQL インジェクションとは別物です。
• 物理量や副作用を見る攻撃です。
• 暗号装置の挙動から秘密を推定する。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。暗号そのものを正面から破るのではなく、金庫を開ける音や手の動きから番号を推測するように、処理時間や消費電流などの“横から漏れる手がかり”を使って秘密情報を探る攻撃だよ。これはサイドチャネル攻撃の説明だね。

選択肢イ

これは不正解だよ。これはシステムを技術的に攻撃するというより、会社のゴミ箱から重要書類を探すようなやり方だよ。いわゆるダンプスタダイビングで、サイドチャネル攻撃とは別物だよ。

選択肢ウ

これは不正解だよ。これは二人の会話の間にこっそり入り込んで、伝言を盗み見たり差し替えたりするような攻撃だよ。中間者攻撃の説明であって、処理時間や電流などから秘密を推測する攻撃ではないよ。

選択肢エ

これは不正解だよ。これはWebサイトの入力欄に、普通の文字ではなくデータベースへの命令文を紛れ込ませる攻撃だよ。窓口の申込書に勝手な指示を書き足して裏の台帳を書き換えさせるイメージで、SQLインジェクションの説明だよ。