情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成26年度春期 午前Ⅰ 問12: 認証局が侵入され，攻撃者によって不正な Web サイト用のディジタル証明書が複数発行されたおそれがある。どのディジタル証明書が不正に発行されたものか分からない場

問題本文

認証局が侵入され，攻撃者によって不正な Web サイト用のディジタル証明書が複数発行されたおそれがある。どのディジタル証明書が不正に発行されたものか分からない場合，誤って不正に発行されたディジタル証明書を用いた Web サイトにアクセスしないために利用者側で実施すべき対策はどれか。

選択肢

• ア.Web サイトのディジタル証明書の有効期限が過ぎている場合だけアクセスを中止する。
• イ.Web サイトへのアクセスログを確認し，ドメインが Whois データベースに登録されていない場合だけアクセスする。
• ウ.当該認証局の CP（Certificate Policy）の内容を確認し，セキュリティを考慮している内容である場合だけアクセスする。
• エ.ブラウザで当該認証局を信頼していない状態に設定し，Web サイトのディジタル証明書に関するエラーが出た場合はアクセスを中止する。

正解

エ. ブラウザで当該認証局を信頼していない状態に設定し，Web サイトのディジタル証明書に関するエラーが出た場合はアクセスを中止する。

解説

認証局(CA)が侵害され不正な証明書が出回った場合、どれが不正か特定できないなら、その認証局そのものを信頼しない設定にし、証明書エラーが出たアクセスを中止するのが確実な防御で正解はエ。失効リスト等が信頼できない状況での根本対策。実務ではルート証明書の信頼解除やピン留めが、CA侵害時の中間者攻撃防止に有効。

選択肢ごとの解説

• ア.不正証明書は有効期限内で発行され得るため、期限切れだけ中止しても防げず誤り。
• イ.Whois未登録時のみアクセスする発想は無関係で、不正証明書対策にならず誤り。
• ウ.侵害されたCAのポリシー内容を見ても不正証明書は判別できず、対策にならず誤り。
• エ.当該CAを信頼しない設定にしエラー時に中止すれば、不正証明書を排除でき正解。