SC情報処理安全確保支援士試験午後Ⅰ

令和2年度10月情報処理安全確保支援士午後Ⅰ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

モバイル決済が身近なものになってきた。しかし，一たび設計を誤ると，不正な決済が行われるリスクが生じる。モバイル決済でバーコード又はQRコードを使用する場合は，なりすまし対策をバーコード若しくはQRコードそのもの又はアプリケーションプログラムに行うことがポイントとなる。また，近年は，スクリーニングによってパスワードリスト攻撃の精度が向上している。攻撃者にスクリーニングを行われないような対策が必要である。本問では，スマートフォン用決済アプリケーションプログラムの開発を題材に，メッセージ認証を用いたなりすまし対策及びスクリーニング対策を検討する能力を問う。

解き方のヒントを見る

問01：会員コードをそのまま見せるのは危ないよ

バーコードやQRコードの中身が会員番号そのものだと、名札に暗証番号を書いて歩いているようなものだよ。番号を推測されたり盗み見されたりすると、他人がその人になりすませてしまう。だから、会員番号だけを入れるのではなく、HMAC値という“改ざんチェック用の合言葉”も一緒に使って、表示されたコードとアプリ内で計算したHMACが一致するか確認する設計にしよう。さらに、会員登録済みかどうかで画面の表示を変えすぎると、攻撃者に「この番号は存在する」と探られることがあるので、そうしたスクリーニング対策も必要だよ。

この問題で問われていること

コードの中身をそのまま信用せず、なりすましや改ざんを防ぐ仕組みを入れられるかがポイントだよ。あわせて、認証まわりで余計な情報を漏らさない設計にできるかも問われているよ。

Authenticity and Screening Resistance in Mobile Payments

mobile-payment design must prevent impersonation by protecting barcode contents with HMAC validation and prevent screening by hiding account-existence differences in responses

do not expose raw member number\nvalidate HMAC values\navoid account-existence leaks\nprotect DNS-related settings from tampering

確認ポイント

会員番号露出を問題化する。
HMAC 一致確認の意味を押さえる。
画面メッセージ差によるスクリーニングを防ぐ。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和2年度10月情報処理安全確保支援士試験午後Ⅰ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

令和2年度10月 情報処理安全確保支援士 午後Ⅰ 問1

問題