令和3年度春期 情報処理安全確保支援士 午後Ⅰ 問1

問01：OAuthは「ログインをお任せする仕組み」だけじゃないよ

SサービスがTサービスの認証を使うと、Sサービス側で多要素認証を一から作らなくてよい、という大きなメリットがあるよ。たとえるなら、入館チェックを自社で全部やらず、信頼できる受付会社に任せるようなイメージだね。ただし、その受付会社にあたるTサービスが止まると、Sサービスも使えなくなるリスクがある。また、攻撃者に勝手なアップロードやダウンロードをさせないように、画面遷移や処理の流れをきちんと制御する必要があるよ。最後は、Tサービスで認証されたT-IDが、Sサービス内に登録済みの利用者とちゃんと結び付いているかを確認することが重要だよ。

この問題で問われていること

OAuthを「外部サービスでログインできる便利機能」とだけ見るのではなく、認証をTサービスに任せる設計と、認証されたT-IDをSサービス内のアカウントに正しく結び付ける確認ができているかを考えよう、という問題だよ。

OAuth Identity Linking and Dependency Tradeoffs

OAuth-based social login must balance delegated authentication benefits with dependency risks and must verify that the external identity is properly linked to a local service account

delegate MFA to identity provider\naccept outage dependency\ncontrol upload and download abuse paths\nverify external ID is linked locally

確認ポイント

• 利点と依存リスクを両方書く。
• ID 結付け確認を落とさない。
• OAuth を単なるログイン代行と誤解しない。

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d5ru-att/2021r03h_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d5ru-att/2021r03h_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d5ru-att/2021r03h_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。