平成31年度春期 情報処理安全確保支援士 午前Ⅱ 問8

午前II 問08：振込内容に“封印シール”を貼って改ざんを見抜く問題だよ

この問題のポイントは、本人だけが使えるハードウェアトークンに「振込先口座番号」と「振込金額」を入力して、その内容専用の MAC を作るところだよ。たとえるなら、振込内容を書いた伝票に、その内容とピッタリ対応する封印シールを貼るイメージだね。Webサイト側も同じ口座番号と金額から MAC を作って照合するので、途中で MITB によって口座番号や金額がこっそり書き換えられると、封印シールと中身が合わなくなる。だから、振込内容の改ざんに気付ける、というのが要点だよ。

この問題で問われていること

単に「本人かどうか」を確認する話ではなく、「この口座番号・この金額で振り込む」という取引内容そのものと MAC を結び付けている点を押さえよう。つまり、ログイン認証よりも、取引内容が途中で変えられていないかを検出できる仕組みかどうかが問われているよ。

Why Transaction Signing Stops Transfer Tampering

transaction signing binds the destination account and amount to a MAC、 so tampered transfer details cannot produce a valid match on the server side

enter account and amount into token\ngenerate MAC\nserver recomputes MAC\ntampered details break the match

確認ポイント

• MAC が何に結び付くかを見る。
• 認証強化だけの話にしない。
• 改ざん検知が主目的だと押さえる。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。MACを比べると「振込先と金額が途中で書き換えられていないか」は分かるけど、「誰かにのぞき見されていないか」までは分からないんだ。封筒の中身に封印シールを貼って、破られたか確認する感じで、盗み見そのものを発見する防犯カメラではないよ。

選択肢イ

不正解だよ。MACの比較では、通信を盗み見した人がいたとしても、その人の名前や場所までは分からないんだ。レシートの改ざんチェックはできても、店の外で誰がレシートをのぞいたかまでは分からない、というイメージだよ。

選択肢ウ（正解）

正解だよ。利用者のトークンで作ったMACと、Webサイト側で同じ材料から作ったMACが一致すれば、振込先口座番号と振込金額が途中で変えられていないと確認できるんだ。たとえるなら、荷物の中身リストと封印シールを照合して「途中で中身を入れ替えられてないね」と確認する感じだよ。

選択肢エ

不正解だよ。MACで分かるのは「どこかが変わったかもしれない」ということまでで、変えられた箇所を自動で直す機能はないんだ。答案に改ざん検知シールが貼ってあっても、どの文字を元に戻せばいいかまでは教えてくれない、というイメージだよ。