令和5年度秋期 情報処理安全確保支援士 午後 問3

問03：偽サイト・偽アプリ・認証情報の確認がどうつながるかを押さえよう

この問題では、攻撃者が偽サイトに利用者を誘導して、ワンタイムパスワードであるTOTPを入力させ、そのコードがまだ有効な短い時間内に本物のサービスへログインしてしまう流れを理解しよう。さらに、サーバ上の`/proc`から環境変数を読まれて認証情報が漏れる話や、認証情報に含まれるオリジンと署名をサーバがきちんと確認する仕組みがなぜ必要なのかも大事だよ。たとえるなら、合い鍵を盗まれないだけでなく、その鍵が“本当に正しい店の入口で作られたものか”まで確認するイメージだね。あわせて、有効なコード署名が付いた偽のPアプリがJストアにアップロードされる連鎖や、秘密鍵そのものは漏れていない場合の強みを踏まえて、どうアップデート対応につなげるかを考えよう。

この問題で問われていること

クラウド側で起きたインシデントが、自分たちのアプリ配布やログイン認証の流れにどう飛び火するのかを説明できるかが問われているよ。単なるサーバ被害として見るのではなく、偽サイト、TOTP、環境変数、コード署名、アプリストア配布、認証時のオリジン確認までを一本の流れとして整理しよう。

Following a Cloud-Service Incident Into App Supply Chain Risk

this CI-service incident spans relayed TOTP login、 reading secrets from /proc environment variables、 origin-and-signature verification、 and the downstream risk of shipping a properly signed fake app

relay TOTP before it expires\nread env vars from /proc\nverify origin and signature server-side\nconsider signed fake app upload\nrespond with app update

確認ポイント

• TOTP 中継の時間制約を押さえる。
• /proc からの環境変数読取りを見逃さない。
• 署名付き偽アプリ波及まで追う。

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ps6vr70000010d6y-att/2023r05a_sc_pm_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ps6vr70000010d6y-att/2023r05a_sc_pm_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ps6vr70000010d6y-att/2023r05a_sc_pm_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。