SC情報処理安全確保支援士試験午後Ⅰ

平成31年度春期情報処理安全確保支援士午後Ⅰ 問2

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

近年，クラウドサービスに対するパスワード認証が破られての不正アクセス事件が度々発生している。さらに，利用するサービスが増えると，サービス毎に別々のパスワードを人が記憶することも難しくなるので，クラウドサービス利用においては，認証連携及びより強力な認証方式が必要になってきている。そうした背景もあり，パスワードレス認証方式の標準化が進められている。本問では，クラウドサービスの利用における認証方式の強化を題材に，認証方式の安全性を評価する能力を問う。

解き方のヒントを見る

問02：OTPを足すだけでは止まらない中継攻撃のポイント

偽Wi-Fiや攻撃者のWebサーバを通る中継攻撃では、利用者が入力したOTPも、そのまま正規サイトへ横流しされることがあるよ。つまり、OTPという強いカギを追加しても、攻撃者が“本人のふりをして正しい入口まで運んでしまう”と突破される可能性があるんだ。だから大事なのは、認証サーバ側で「ブラウザが見ているオリジンb」と「サーバが想定しているオリジンs」が一致しているかを確認し、正規のオリジン以外から来た認証要求を拒否する設計にすることだよ。

この問題で問われていること

この問題では、「多要素認証にすれば十分だよね？」ではなく、「その認証要求が本当に正しい発生元から来ているかを、どう確認するか」に注目しよう。

Origin Verification in Passwordless Authentication

passwordless authentication must defend not only against weak passwords but also against relaying through attacker-controlled sites by checking origin consistency

attacker relays OTP flow\norigin mismatch reveals abuse\nauth server checks origin consistency\nstrong factor alone is not enough

確認ポイント

中継攻撃を前提に考える。
OTP 追加だけで満足しない。
オリジン一致確認を押さえる。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000ddiw-att/2019h31h_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000ddiw-att/2019h31h_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000ddiw-att/2019h31h_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成31年度春期情報処理安全確保支援士試験午後Ⅰ 問2（公式資料：問題冊子（PDF）／解答例／採点講評）

平成31年度春期 情報処理安全確保支援士 午後Ⅰ 問2

問題