平成27年度春期 情報処理安全確保支援士 午前Ⅰ 問13

午前I 問13：使い回せない認証情報で再送攻撃を防ぐ考え方

毎回同じ合言葉を送るのではなく、そのときだけ使える認証情報をやり取りする仕組みだよ。だから、攻撃者が過去の通信を録音してそのまま送り直しても、期限切れのチケットを出すようなものなので、認証を突破しにくいんだ。

この問題で問われていること

ポイントは、「一度使ったら基本的に使い回せないワンタイム性」があるかどうかを見抜くことだよ。平文パスワードのように同じ秘密情報をそのまま送る方式とは違い、過去の通信を再利用されにくい仕組みになっている点を押さえよう。

Challenge-Response Authentication

challenge-response authentication uses a fresh challenge each time、 making replay attacks difficult

fresh challenge\ncomputed response\nreplay resistant

確認ポイント

• 毎回同じ応答を返すわけではありません。
• 再送攻撃対策に有効です。
• チャレンジに基づく応答を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。これは「発見リスク」の説明だね。たとえるなら、家の点検をしたのに小さな壊れた鍵を見落としてしまうようなもの。監査人が重要な不備を見つけられないリスクのことで、リスク対応後に残るリスクの説明ではないよ。

選択肢イ

これは不正解だよ。これは「固有リスク」の説明だね。例えば、銀行の窓口業務はお金を扱うから、仕事の性質上どうしてもミスや不正の危険がある、という感じ。残留リスクは“対策後にまだ残るリスク”なので、もともとの性質から来るリスクとは別だよ。

選択肢ウ

これは不正解だよ。これは「投機的リスク」に近い説明で、株を買うともうかるかもしれないけど損するかもしれない、みたいな“利益と損失がセットのリスク”の話なんだ。問題の「残留リスク」は、対策したあとにも残る危険のことだから違うよ。

選択肢エ（正解）

これが正解だよ。残留リスクは、鍵を増やしたり防犯カメラを付けたりしたあとでも、泥棒に入られる可能性がゼロにはならない、という“対策後にまだ残るリスク”のことなんだ。だから「リスク対応後に残るリスク」という説明がぴったりだよ。