情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 科目A サンプル問題 問25: Web サイトで利用される CAPTCHA に該当するものはどれか。

問題本文

Web サイトで利用される CAPTCHA に該当するものはどれか。

選択肢

• ア.人からのアクセスであることを確認できるよう，アクセスした者に応答を求め，その応答を分析する仕組み
• イ.不正な SQL 文をデータベースに送信しないよう，Web サーバに入力された文字列をプレースホルダに割り当てて SQL 文を組み立てる仕組み
• ウ.利用者が本人であることを確認できるよう，Web サイトから一定時間ごとに異なるパスワードを要求する仕組み
• エ.利用者が本人であることを確認できるよう，乱数を Web サイト側で生成して利用者に送り，利用者側でその乱数を鍵としてパスワードを暗号化し，Web サイトに送り返す仕組み

正解

ア. 人からのアクセスであることを確認できるよう，アクセスした者に応答を求め，その応答を分析する仕組み

解説

CAPTCHA は，ゆがんだ文字や画像選択などの課題を提示し，その応答を分析することで，人間によるアクセスかプログラム（ボット）による自動アクセスかを判別する仕組みである。アカウントの自動登録やパスワードの総当たり攻撃などを防ぐ目的で使われる。正解はアで，アクセスした者に応答を求めて分析するという CAPTCHA の本質を正しく述べている。

選択肢ごとの解説

• ア.正しい。応答を求めて人間か機械かを判別する点が CAPTCHA そのものであり，ボットによる自動アクセスを排除できる。
• イ.誤り。これはプレースホルダ（バインド機構）を用いた SQL インジェクション対策の説明であり，CAPTCHA とは無関係である。
• ウ.誤り。一定時間ごとに異なるパスワードを要求する仕組みはワンタイムパスワード（OTP）であり，本人認証の手法で CAPTCHA とは異なる。
• エ.誤り。乱数（チャレンジ）を鍵としてパスワードを暗号化して返す方式はチャレンジレスポンス認証であり，本人認証の手法である。