基本情報技術者試験 基本情報技術者試験 平成28年度 春期 午前 午前 問40: Webシステムのパスワードを忘れたときの利用者認証において合い言葉を使用する場合，合い言葉が一致した後の処理のうち，セキュリティ上最も適切なものはどれか。

正解

イ. あらかじめ登録された利用者のメールアドレス宛てに，パスワード再登録用ページへアクセスするための，推測困難なURLを送信する。

正答率 53.9%（1,069人中 576人が正解）

問題の解説

登録済みアドレスへ、ワンタイムの推測困難URLを送る方式が、本人確認+リプレイ攻撃防止の観点で最も安全です。現パスワード送信や任意アドレス受付はNG。

選択肢ごとの解説

• ア平文で現パスワードを送るのはNG(漏えいリスク・再利用問題)。
• イ登録済アドレス+ワンタイムURLが標準的なセキュアパターン。
• ウ任意アドレス入力ではなりすまし可能でかつ平文送信は危険。
• エ任意アドレス入力は本人確認にならず、攻撃者にURLを渡してしまう恐れがあります。