平成30年度春期 情報処理安全確保支援士 午前Ⅱ 問5

午前II 問05：リバースプロキシ方式のSSOは“入口係”が認証を引き受ける

これは cookie ベースのSSOの話ではないよ。リバースプロキシ方式では、利用者と各Webアプリの間に“入口係”のようなサーバを置いて、そこで認証をまとめて引き受けるんだ。だから、アプリ側がパスワード認証しか想定していなくても、入口側でクライアント証明書など別の認証方法を使えるようにできるよ。

この問題で問われていること

SSOにはいくつか実装方式があり、それぞれどこに仕組みを置くのか、どこまで認証方式を柔軟に変えられるのかが違うよ。この問題では、特にリバースプロキシ方式では前段のサーバが認証を吸収できる、という特徴を理解しているかが問われているよ。

Reverse-Proxy SSO

reverse-proxy SSO can front-end multiple web servers and may authenticate users with digital certificates instead of passwords

front-end proxy performs auth\ncertificate-based auth possible\nnot tied to password only

確認ポイント

• リバースプロキシ前段認証と考える。
• cookie 型と混同しない。
• 証明書利用可否に注目する。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。cookieはクライアントが勝手に『私は認証済みです』と作るものではなく、認証後にサーバ側が発行してクライアントに持たせるものなんだ。入館証で例えると、利用者が自分で入館証を作るのではなく、受付が確認してから渡すよね。さらに、そのcookieを各サーバ上で保存・管理するという説明も違うよ。

選択肢イ

不正解だよ。cookieは基本的に使える範囲がドメインに縛られるので、cookie方式のSSOでは、むしろ同じドメイン配下で使うのが自然なんだ。合鍵が使えるマンションの範囲が決まっているのに、『別々の町にある建物に置く必要がある』と言っているようなもので、逆なんだよ。

選択肢ウ

不正解だよ。リバースプロキシ型は、入口の窓口を1つにまとめて、そこを通って各Webサーバへ案内する方式なんだ。だからWebサーバをわざわざ別々のインターネットドメインに置く必要はないよ。『受付を1か所にしたいのに、建物を必ず別住所にしなさい』と言っているようなもので、条件としておかしいんだ。

選択肢エ（正解）

これは正解だよ。リバースプロキシが利用者を確認する入口係になるので、確認方法はパスワードだけに限られないんだ。例えば、会員証を見せて入る代わりに、顔写真付きの身分証で確認してもよい、というイメージだよ。ディジタル証明書はその『身分証』のように使えるんだ。