令和2年度10月 情報処理安全確保支援士 午前Ⅱ 問4

午前II 問04：サイドチャネル攻撃を見抜こう

サイドチャネル攻撃は、暗号そのものを正面から破るというより、暗号処理中に横から漏れる“手がかり”を集めて秘密情報を推測する攻撃だよ。たとえば、金庫の暗証番号を直接聞くのではなく、ボタンを押す音や開くまでの時間、機械の反応の違いから番号を当てようとするイメージ。処理時間、消費電力、電磁波、エラーメッセージなどが手がかりになるよ。

この問題で問われていること

この問題では、サイドチャネル攻撃をほかの攻撃と区別できるかがポイントだよ。人をだまして情報を聞き出すソーシャルエンジニアリング、通信の間に割り込む中間者攻撃、SQL 文を悪用する SQL インジェクションではなく、“処理中に副次的に漏れる情報”から秘密を探る攻撃を選ぼう。

サイドチャネル攻撃

アルゴリズムそのものではなく、実装や装置から漏れる副次情報が観測対象になる。

処理時間 / 消費電力 / 電磁波\n-> 秘密情報推定

確認ポイント

• ごみ箱あさりはソーシャルエンジニアリングです。
• 2 者間に割り込むのは中間者攻撃です。
• 物理量やエラーメッセージから秘密情報を得る説明を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは、装置の動き方を横から観察して秘密を推測する攻撃の説明だよ。例えば、金庫を直接こじ開けるのではなく、ダイヤルを回す音や手応えから番号を探るようなイメージだね。これはサイドチャネル攻撃の説明であり、別の攻撃を問う問題なら不正解になるよ。

選択肢イ

これは、捨てられた紙ごみから秘密情報を探す手口だよ。泥棒が鍵を壊すのではなく、ゴミ箱からパスワードを書いたメモを拾うようなものだね。これはスキャベンジングやトラッシングに関する説明で、問われている攻撃がそれ以外なら不正解だよ。

選択肢ウ

これは、2人の会話の間にこっそり割り込んで、双方に別人だと気付かれないように情報をすり替える攻撃だよ。郵便配達の途中で手紙を抜き取り、内容を書き換えて届けるようなものだね。これは中間者攻撃の説明なので、問われている攻撃がそれでなければ不正解だよ。

選択肢エ

これは、Webサイトの入力欄に悪意のあるSQLのかけらを入れて、データベースを不正に操作する攻撃だよ。窓口の申請書に、普通の名前ではなく『倉庫を開けろ』みたいな命令を書き込むイメージだね。これはSQLインジェクションの説明なので、別の用語を問う問題では不正解だよ。