平成29年度秋期 情報処理安全確保支援士 午前Ⅱ 問14

午前II 問14：大事な操作の前にはもう一度本人確認しよう

もしログイン中のセッションを誰かに乗っ取られても、個人情報の表示やパスワード変更みたいな大事な場面の直前で、もう一度パスワード入力などの追加認証を求めれば、被害を広げにくくできるよ。家に入れたとしても、金庫を開ける前にもう一度カギを確認するイメージだね。

この問題で問われていること

この問題で見たいのは、通信を暗号化する話やセッションIDをどこに保存するかではなく、「重要な情報を見せる前」「重要な操作をする前」に再認証を入れる対策を選べるかどうかだよ。

追加認証の目的

すでにセッションが盗まれている状況では、HTTPS や Cookie 保持だけでは足りない。重要操作前の再認証で本人確認を追加する必要がある。

セッション乗っ取り後も\n重要画面直前で再認証\n-> 被害拡大を抑止

確認ポイント

• 通信暗号化だけでは既に盗まれたセッションを防げない。
• クエリ文字列へのセッション ID 埋込みは危険です。
• パスワードによる追加認証を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。通信の暗号化は、手紙を盗み見されないよう封筒に入れるような大事な対策だけど、この問題は「もうセッションを乗っ取られた後に被害を広げないには？」を聞いているんだ。乗っ取られた合鍵を使われた後では、暗号化だけでは本人か泥棒かを見分けられないよ。

選択肢イ

これは間違いだよ。セッションIDをCookieに入れるのは、入館証を財布にしまうような一般的な管理方法だけど、すでにその入館証を盗まれて使われている状況では追加の防御にならないんだ。重要情報の直前では、別途パスワード確認などが必要だよ。

選択肢ウ

これは間違いだよ。セッションIDをURLのクエリ文字列に入れるのは、合鍵の番号を封筒の表に大きく書いて持ち歩くようなものなんだ。ブラウザ履歴、アクセスログ、リンク共有などに残りやすく、むしろ盗まれる危険が増えるよ。

選択肢エ（正解）

これが正解だよ。すでに入館証であるセッションIDを泥棒に奪われたとしても、金庫の前でもう一度「本人の合言葉、つまりパスワード」を確認すれば、重要情報まで見られる被害を止めやすいんだ。重要画面の直前で再認証する対策だよ。