情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成31年度春期 午前Ⅱ 問8: インターネットバンキングサービスを提供する Web サイトを利用する際に，トランザクション署名の機能をもつハードウェアトークンを利用する。次の処理を行うとき，(

問題本文

インターネットバンキングサービスを提供する Web サイトを利用する際に，トランザクション署名の機能をもつハードウェアトークンを利用する。次の処理を行うとき，(4)によってできることはどれか。ここで，ハードウェアトークンは利用者ごとに異なり，本人だけが利用する。 〔処理〕 (1) ハードウェアトークンに振込先口座番号と振込金額を入力し，メッセージ認証符号（MAC）を生成する。 (2) Web サイトの振込処理画面に振込先口座番号，振込金額及び(1)で生成された MAC を入力し，Web サイトに送信する。 (3) Web サイトでは，本人に発行したハードウェアトークンと同じ処理手順によって振込先口座番号と振込金額から MAC を生成する。 (4) Web サイトでは，(2)で入力された MAC と，(3)で生成した MAC を比較する。

選択肢

• ア.通信経路において盗聴されていないことを確認できる。
• イ.通信経路における盗聴者を特定できる。
• ウ.振込先口座番号と振込金額が改ざんされていないことを確認できる。
• エ.振込先口座番号と振込金額の改ざんされた箇所を訂正できる。

正解

ウ. 振込先口座番号と振込金額が改ざんされていないことを確認できる。

解説

ハードウェアトークンで振込先口座番号と金額からMACを生成し、Web側が同じ手順で再計算したMACと照合する。両者が一致すれば、送信されたデータがトークン入力時から改ざんされていないことを検証できる。ウが正解。これはトランザクション署名による完全性保証で、中間者がマルウェアで送信内容を書き換える攻撃の検知に有効。盗聴防止や暗号化は別目的。

選択肢ごとの解説

• ア.MACは完全性を確認する仕組みで盗聴の有無は判定できないため誤り。秘匿は暗号化の役割。
• イ.MACは盗聴者を特定する機能を持たないので誤り。検証できるのはデータの改ざん有無のみ。
• ウ.再計算したMACとの一致で振込先口座番号と金額が改ざんされていないことを確認でき正解。
• エ.MACは改ざんの有無を検出するだけで、改ざん箇所の訂正はできないため誤り。