基本情報技術者 技術要素 択一式（応用） 第1問〜第5問｜セキュリティ

正解：B

・A
共通鍵暗号でも鍵の管理は必要であり、むしろ通信相手ごとの鍵の配送方法が課題になる。鍵の管理や配送を不要にする方式ではない。

・B
正解。データ本体は高速に処理できる共通鍵暗号で暗号化し、受渡しが課題となる共通鍵そのものは公開鍵暗号で安全に配送する、両方式の利点を組み合わせたハイブリッド方式である。

・C
ディジタル署名は、対応する秘密鍵の保持者が署名したことと、署名後にデータが改ざんされていないことを検証するための仕組みである。その人物がファイルの内容を作成したこと自体を証明するものではなく、いずれにしても本問のハイブリッド暗号方式の目的ではない。

・D
問題文の暗号化方式だけでは、ファイルの改ざんを検知できるとは限らない。改ざんの検知や完全性の確認には、MAC、ディジタル署名又は認証付き暗号などを用いる。ハッシュ値をファイルと同じ攻撃可能な経路で送信するだけでは、ファイルとハッシュ値を同時に差し替えられる可能性がある。

正解：D

・A
受信者の鍵は署名には用いない。受信者の公開鍵を使うのは、機密文書を暗号化して送信する場合である。

・B
受信者の秘密鍵は受信者本人しか保持しておらず、送信者が署名の生成に用いることはできない。

・C
公開鍵は誰でも入手できるため、署名の生成に用いると本人が作成したことを保証できない。

・D
正解。送信者が管理する秘密鍵で署名を生成し、対応する送信者の公開鍵で検証する。これによって、その秘密鍵に対応する署名者が署名したことと、署名後に電子文書が改ざんされていないことを確認できる。ただし、署名者が文書の内容を最初から作成したこと自体を証明するものではない。

正解：A

・A
正解。社員証ICカードは利用者が所持するものに基づく所持情報、PINは利用者が知っているものに基づく知識情報である。異なる種類の認証要素を組み合わせているため、多要素認証に該当する。

・B
二つの認証処理を順番に実行することや、時間を空けること自体が多要素認証の理由ではない。異なる種類の認証要素を組み合わせていることが必要である。

・C
PINは利用者が記憶する知識情報であるが、ICカードは利用者が所持する物に基づく所持情報である。

・D
ICカードは利用者が所持する物に基づく所持情報であるが、PINは利用者が記憶する知識情報である。

正解：C

・A
クロスサイトスクリプティングは、悪意のあるスクリプトを利用者のブラウザ上で実行させる攻撃であり、データベースへの命令文を操作するものではない。

・B
セッションハイジャックは、セッションIDなどを奪って正規の利用者になりすます攻撃である。

・C
正解。入力値を悪用して不正なSQL文を組み立て、データベースを不正に操作する攻撃である。入力値の検査やプレースホルダの使用によって防御する。

・D
ディレクトリトラバーサルは、パス指定を悪用して公開を意図していないファイルにアクセスする攻撃である。

正解：D

・A
推測されにくくする対策であり、流出した正しいパスワードそのものを使われるこの攻撃には効果がない。

・B
総当たり攻撃には有効だが、流出済みのパスワードを使われる場合は文字数に関係なく突破される。

・C
流出後に悪用され得る期間を短くする効果はあるが、変更するまでの間の不正ログインは防げず、根本的な対策にはならない。

・D
正解。この攻撃は同じIDとパスワードの組みが複数のサービスで使い回されていることを前提とするため、サービスごとに異なるパスワードを設定すれば流出の影響が他のサービスに波及しない。