平成28年度春期 情報処理安全確保支援士 午前Ⅰ 問14

午前I 問14：AESは“同じ鍵で開け閉めする高速な金庫”だよ

AESのような共通鍵暗号方式は、同じ鍵で暗号化と復号をする方式だよ。処理が速くて大量の本文データを暗号化するのに向いているけれど、その鍵を送信者と受信者で安全に共有しておく必要があるんだ。家の合鍵を渡すのと同じで、渡し方を間違えると危ないよ。

この問題で問われていること

公開鍵暗号方式は鍵の共有がしやすい代わりに処理が重め、共通鍵暗号方式は処理が速い代わりに鍵の安全な共有が課題、という長所と短所の違いを見分けよう。

Symmetric-Key Cryptography

symmetric-key cryptography is fast for large data volumes but requires secure key sharing

fast\nshared secret key\nkey distribution problem

確認ポイント

• 公開鍵配送の容易さは共通鍵方式の利点ではありません。
• 大量データ暗号化に向く。
• 鍵共有が課題です。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。通信の暗号化は、手紙を封筒に入れて配達中に盗み見されにくくする対策だよ。でも、今回の話はすでにセッションを乗っ取られた後に重要情報の表示を防ぐにはどうするか。暗号化だけでは、盗まれた合鍵を持つ相手を本人かどうか見分けられないんだ。

選択肢イ

これは不正解だよ。セッションIDをCookieに入れるのは、入館証を財布にしまうような普通の保管方法であって、すでに盗まれた入館証の悪用を止める対策ではないんだ。乗っ取られた後の重要画面の直前対策としては弱いよ。

選択肢ウ

これは不正解だよ。セッションIDをURLに入れるのは、入館証番号を名札に大きく書いて歩くようなもの。URLは履歴やRefererなどで漏れやすいので、むしろセッション乗っ取りの危険を高めるやり方だよ。

選択肢エ（正解）

これは正解だよ。セッションを乗っ取られるのは、泥棒が一時入館証を拾って建物に入ってしまうようなもの。重要な部屋の前で「本人しか知らない合言葉、もう一回言ってね」とパスワード確認をすれば、入館証だけ持った泥棒を止めやすいんだ。