ITパスポート試験 ITパスポート 2015年 (平成27年 秋期) 問55: ワンタイムパスワードに関する記述中のa,bに入れる字句の適切な組合せはどれか。 利用者は,トークンと呼ばれる装置などを用いて生成された[a]のパスワードを使って

問題本文

ワンタイムパスワードに関する記述中のa,bに入れる字句の適切な組合せはどれか。 利用者は,トークンと呼ばれる装置などを用いて生成された[a]のパスワードを使って認証を受ける。このパスワードをワンタイムパスワードと呼び,これを利用することで,パスワードの漏えいによる[b]のリスクを低減することができる。

選択肢

• ア.a:固定, b:DoS攻撃
• イ.a:固定, b:なりすまし
• ウ.a:使い捨て, b:DoS攻撃
• エ.a:使い捨て, b:なりすまし

正解

エ. a:使い捨て, b:なりすまし

解説

ワンタイムパスワード(OTP)に関する穴埋め問題. ワンタイムパスワードはトークン装置やスマートフォンアプリで一定時間ごと(時刻同期方式)や認証要求ごと(チャレンジレスポンス方式)に生成される使い捨てのパスワード. 一度認証に使うと無効化されるため,通信経路上で盗聴されても再利用できず,なりすまし(他人による不正ログイン)を効果的に防ぐ. 固定パスワードでは盗聴やフィッシング・パスワードリスト攻撃で簡単に悪用されるリスクが高いが,使い捨て方式ならその攻撃が無効化される. DoS攻撃はサービス停止を狙う別の脅威で,OTPで防ぐ対象には含まれない. a=使い捨て,b=なりすましが正しい組合せ.

選択肢ごとの解説

• ア.誤り. ワンタイムパスワードは「使い捨て」が定義の中核であり,「固定」は対義語. 固定パスワードはむしろワンタイムパスワード導入で置き換えるべき方式で,本問の文脈で「固定パスワード」を答えるのは概念矛盾. またDoS攻撃はOTPで防ぐ対象でもないため二重に誤り.
• イ.誤り. ワンタイムパスワードは「使い捨て」であり「固定」ではないので,aの組合せが既に誤り. なりすまし防止という効果対応自体は正しいが,「固定」を選んだ時点で定義から外れる. 同義の語と思いがちな部分だけ正解しても,定義語(使い捨て)を取り違えれば不正解となる.
• ウ.誤り. 使い捨てパスワードは正しい(a)が,防止対象としてのDoS攻撃は誤り. DoS攻撃は大量リクエストでサービス停止を狙う別領域の脅威で,認証強化策では防げない. なりすまし(認証突破)とDoS(可用性攻撃)はカテゴリが異なる脅威であり区別が必要となる.
• エ.正解. ワンタイムパスワードは使い捨て(a)のパスワードで,認証経路上で盗聴・取得されても再利用できないため,なりすまし(b:不正ログイン)を効果的に防ぐ. 時刻同期型のトークンやスマホアプリ生成型などが代表例で,設問の組合せ「使い捨て+なりすまし」が完全に正しい.