平成28年度春期 情報処理安全確保支援士 午前Ⅰ 問13

午前I 問13：ワンタイムパスワードは「毎回変わる合言葉」だよ

固定パスワードは、同じ鍵をずっと使い回すようなもの。もし誰かに盗み見られると、後から同じ鍵で入られてしまう危険があるよ。ワンタイムパスワードは、毎回その場限りの合言葉を使うしくみなので、盗まれても次には使えず、リプレイ攻撃のリスクを下げられるんだ。

この問題で問われていること

ここでは、生体認証のような「本人の特徴」や、ICカード認証のような「持ち物」と区別して考えよう。ワンタイムパスワードは、利用者がその時だけ知って使う“一回限りの知識要素”だと見抜けるかがポイントだよ。

One-Time Password

a one-time password becomes invalid after one use、 reducing the risk of replay attacks

use once\nthen invalid\nreplay resistant

確認ポイント

• 固定パスワードではありません。
• 毎回異なる値を使う。
• 再利用防止の特徴を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。実際に外からWebサーバへ侵入を試して弱点を探すのは、ペネトレーションテストの説明だよ。たとえるなら、防犯の専門家が泥棒役になって家に入れるか試す検査で、普段から入口で怪しい通信を止めるWAFとは違うんだ。

選択肢イ

これは不正解だよ。暗号化・復号を専用機械に任せてWebサーバを楽にする話で、これはSSL/TLSアクセラレータの説明だよ。たとえるなら、店長が重い荷物運びを専門スタッフに任せる感じで、怪しい客を入口で止めるWAFの役割とは別なんだ。

選択肢ウ

これは不正解だよ。管理者が質問に答えて自社のセキュリティ対策レベルを確認するのは、自己診断テストの説明だよ。たとえるなら、防犯チェックリストに『鍵は閉めていますか？』と答えて点検する感じで、通信をその場で検査して遮断するWAFではないよ。

選択肢エ（正解）

これは正解だよ。WAFは、Webアプリに届く通信の中身を見て、SQLインジェクションみたいな怪しいパターンを見つけたら止める仕組みなんだ。たとえるなら、窓口に来た申請書の中身をチェックして、『これは不正な書き方だな』と思ったら受け付けない係員だよ。