情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成29年度春期 午前Ⅱ 問11: インターネットバンキングの利用時に被害をもたらす MITB（Man-in-the-Browser）攻撃に有効な対策はどれか。

正解

ア. インターネットバンキングでの送金時に Web ブラウザで利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。

問題の解説

MITB攻撃はマルウェアがブラウザに寄生し、利用者が正しい画面で入力した送金内容を裏で改ざんしてから送信する。ワンタイムパスワードやサーバ証明書確認はログインや接続先正当性の対策で、入力後の改ざんは防げない。トランザクション署名なら利用者が入力した取引内容そのものに署名して金融機関側で照合でき改ざんを検出できるため、アが有効。

選択肢ごとの解説

• ア入力した取引内容に署名し金融機関側で差異を検証でき、MITBによる改ざんを検出できるため正解。
• イEV SSLは接続先サイトの正当性確認で、ブラウザ内で起こる送金内容改ざんは防げない。
• ウワンタイムパスワードはログイン認証の強化で、認証後の取引内容改ざんには無力である。
• エ通信暗号化は盗聴対策であり、ブラウザ内部で改ざんするMITBには効果がない。