SC情報処理安全確保支援士試験午後Ⅰ

平成28年度春期情報処理安全確保支援士午後Ⅰ 問3

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

スマートフォンアプリケーションが増加している中，各種の脆弱性が見つかっており，その中でもサーバ証明書の検証不備の脆弱性は多い。これは，サーバ証明書を，その役割を正しく認識せずに，単に暗号化通信を行うために使用していることが原因だと考えられる。本問では，スマートフォンアプリケーションの試験を題材に，サーバ証明書の検証不備に焦点を当て，検証不備を確認するための試験方法及び試験環境を設計する能力，並びにサーバ証明書の検証不備を用いた中問者攻撃についての理解を問う。

解き方のヒントを見る

問03：サーバ証明書チェックは“本物の入口か確認する受付係”だよ

サーバ証明書は、通信を暗号化するだけの道具じゃないよ。たとえるなら、お店の看板や身分証を見て「ここは本当に行きたいお店かな？」と確認する受付係みたいなもの。試験用のWebサーバや偽アクセスポイントを用意して、期限切れの証明書や想定外のサーバ証明書を出したときに、アプリがちゃんと「これは怪しい」と認証エラーにできるか確認しよう。

この問題で問われていること

証明書の検証漏れを、頭の中だけで考えるのではなく、試験環境でどう再現して確認するかがポイントだよ。偽物の入口をわざと用意して、アプリがだまされずに止まれるかを見る問題だね。

Certificate Validation Test Design

testing certificate-validation flaws requires a fake server、 a controlled network、 and cases such as invalid dates or mismatched certificates to verify the app rejects the connection

prepare test web server\nprepare man-in-the-middle-like network\nuse invalid or mismatched certificate\nconfirm app shows authentication error

確認ポイント

暗号化の有無ではなく相手認証を見る。
偽APや試験用Webサーバを使う。
エラー表示されるかまで確認する。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000gn5o-att/2016h28h_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000gn5o-att/2016h28h_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000gn5o-att/2016h28h_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成28年度春期情報処理安全確保支援士試験午後Ⅰ 問3（公式資料：問題冊子（PDF）／解答例／採点講評）

平成28年度春期 情報処理安全確保支援士 午後Ⅰ 問3

問題