平成25年度春期 情報処理安全確保支援士 午後Ⅱ 問3

問03：POP3で認証したあとにSMTP送信を許す方式の落とし穴

POP3で一度ログインできたら、しばらくの間SMTP送信もOKにする方式では、「そのIPアドレスを使っている人＝さっき認証した本人」と決めつけてしまうのが危ないよ。たとえば、席を立ったあとに別の人が同じ端末を使ったり、回線の都合でIPアドレスが別の利用者に割り当て直されたりすると、本当は認証していない人までメールを送れてしまう可能性があるんだ。ポイントは、IPアドレスや時間だけでは利用者本人をしっかり確認できない、ということだよ。

この問題で問われていること

「一定時間だけ認証済み扱いにする」仕組みでは、その後に使っている人が本当に本人とは限らないよね、という危険を説明できるかが問われているよ。

Risk of POP-before-SMTP Style Authorization

granting mail submission based only on recent POP3 authentication can allow another user or reassigned IP host to send mail without authenticating

authentication cached by time\nIP may be reassigned\nanother user may log in\nunauthenticated sending becomes possible

確認ポイント

• 時間ベース引継ぎの危険を見る。
• IP 再割当てを考慮する。
• 本人確認が弱い方式だと捉える。

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000002e6g-att/2013h25h_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000002e6g-att/2013h25h_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000002e6g-att/2013h25h_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。