情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和2年度 午前Ⅱ 問10: インターネットバンキングの利用時に被害をもたらす MITB（Man in the Browser）攻撃に有効な対策はどれか。

正解

イ. インターネットバンキングでの送金時に利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。

正答率 100.0%（1人中 1人が正解）

問題の解説

MITB攻撃はブラウザに潜むマルウェアが、利用者の正規操作後に送金先や金額を改ざんして送信する。通信路や認証を守っても、ブラウザ内で書き換えられるため従来対策では防げない。対策は、利用者が入力した取引内容を別経路や署名で本人に確認させるトランザクション署名が有効でイが正解。改ざんの有無を取引単位で検証できる。

選択肢ごとの解説

• アEV証明書はサイトの正当性を示すが、ブラウザ内での取引改ざんは防げずMITB対策にならない。
• イ入力情報と金融機関の受信情報の差異を取引ごとに検証するトランザクション署名はMITBの改ざんを検出でき正しい。
• ウワンタイムパスワードはログイン認証を強化するが、認証後に取引を書き換えるMITBは防げない。
• エSSLからTLSへ変えても通信の暗号化は盗聴対策にすぎず、ブラウザ内部で改ざんするMITBには無効。