平成26年度春期 情報処理安全確保支援士 午前Ⅰ 問13

午前I 問13：ワンタイムパスワードは“毎回変わる合言葉”だよ

固定パスワードは毎回同じ鍵を使うようなものだけど、ワンタイムパスワードは使うたびに変わる使い捨ての鍵だよ。だから、誰かに一度盗み見されても、その古い認証情報をもう一度使うリプレイ攻撃には強くなるんだ。

この問題で問われていること

ポイントは、その認証情報が“毎回同じもの”なのか、“利用するたびに変わるもの”なのかを見抜くことだよ。使い回せない情報なら、盗んだ内容を再送してログインする攻撃への耐性が高まる、と考えよう。

One-Time Password

one-time passwords become invalid after one use、 reducing the risk of replay attacks

used once\nthen invalid

確認ポイント

• 固定パスワードではありません。
• 再利用防止が目的です。
• 一回限りの認証情報を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。SQLインジェクションは、入力欄にデータベースへの命令を紛れ込ませる攻撃なんだ。プレースホルダを使うと、入力された文字を“命令”ではなく“ただの値”として扱えるよ。窓口で申込書に余計な指示を書かれても、係員が『ここは名前欄だから名前としてだけ読むよ』と決めている感じだね。

選択肢イ

これは不正解だよ。クロスサイトスクリプティング対策で、信頼できない外部サイトのスタイルシートを読み込めるようにするのは逆に危ないんだ。知らない人から渡された飾り付け用の紙を店内に貼ったら、実は案内表示を勝手に変える紙だった、みたいなイメージだよ。外部CSSは表示を悪用される可能性があるので、対策にはならないよ。

選択肢ウ

これは不正解だよ。クロスサイトリクエストフォージェリは、利用者がログイン中なのを悪用して、本人のつもりがない操作を勝手に送らせる攻撃だよ。GETメソッドを使うとURLを踏ませるだけで処理が実行されやすくなるので、むしろ危険なんだ。大事な手続を“リンクを踏むだけで完了”にするようなものだね。

選択肢エ

これは不正解だよ。セッションハイジャックは、ログイン中の利用者を見分けるセッションIDを盗んでなりすます攻撃だよ。利用者ごとに固定のセッションIDを使うと、合鍵をずっと同じまま使うようなもので、一度盗まれたら何度も悪用されやすいんだ。ログインのたびに推測されにくいIDへ変えるのが基本だよ。