重要度：A
問11：社内システムの認証を多要素認証にする。多要素認証となる組合せはどれか。
- A：パスワードと秘密の質問
- B：パスワードとICカード
- C：PINコードとパスフレーズ
- D：指紋認証と顔認証
【第11問：正解と解説】
正解：B
・A
パスワードと秘密の質問はいずれも記憶要素であり、異なる種類の要素を組み合わせていない。
・B
正解。パスワードは記憶要素、ICカードは所有要素であり、異なる種類の認証要素を組み合わせている。
・C
PINコードとパスフレーズはいずれも記憶要素である。
・D
指紋と顔はいずれも生体要素であり、異なる種類の要素を組み合わせた多要素認証ではない。
重要度：B
問12：利用者が通常とは異なる国の新しい端末から深夜にログインしようとした。リスクベース認証の対応として、最も適切なものはどれか。
- A：登録済みのパスワードが正しければ、接続状況にかかわらず通常どおり許可する。
- B：不正と断定してアカウントを即時に停止し、本人への確認は行わない。
- C：接続場所や端末などからリスクが高いと判断し、追加認証や制限を行う。
- D：パスワードの強度を再評価し、十分な長さであれば追加認証は行わない。
【第12問：正解と解説】
正解：C
・A
パスワードが正しくても、盗まれた認証情報による不正ログインの可能性がある。接続状況の変化はリスク評価の材料になる。
・B
接続状況だけで不正と断定し、本人確認を一切行わないのは適切でない。評価したリスクに応じて、追加認証、アクセス制限、本人への確認などを行う。
・C
正解。端末、地域、時刻、利用履歴などを評価し、リスクが高い場合に追加認証や制限を適用する。
・D
パスワードの強度と、そのログイン試行が本人によるものかどうかは別の問題である。
重要度：B
問13：FIDOを利用したパスワードレス認証の説明として、最も適切なものはどれか。
- A：サービスごとに生成した秘密鍵をサーバへ登録し、公開鍵は認証器で保管する。
- B：認証器で読み取った生体情報をサーバへ送信し、サーバ側で照合して認証する。
- C：認証器とサーバが共通の秘密情報を共有し、その値の一致によって認証する。
- D：認証器が秘密鍵でチャレンジへの応答を生成し、サービスは公開鍵で検証する。
【第13問：正解と解説】
正解：D
・A
鍵の保管場所が逆である。秘密鍵は利用者側の認証器で保護し、サーバへ登録するのは公開鍵である。
・B
生体情報の照合は通常、利用者側の端末・認証器内で行われ、生体情報そのものをサーバへ送信しない。
・C
FIDOは共有秘密の一致ではなく、公開鍵暗号による署名応答の検証で認証する方式である。
・D
正解。FIDOは公開鍵暗号を利用し、秘密鍵を利用者側の認証器で保護したまま、チャレンジへの署名応答を登録済みの公開鍵で検証する。
重要度：B
問14：複数のクラウドサービスへ一度の認証でアクセスできるシングルサインオンを導入した。導入後のリスクと対策の組合せとして、最も適切なものはどれか。
- A：認証基盤の侵害は複数サービスへ影響するため、多要素認証や監視で保護を強化する。
- B：各サービスの個別パスワードが不要になるため、認証基盤のパスワード要件は緩和できる。
- C：認証を一元化すれば、各サービス側のアクセス権の設定は確認しなくてよい。
- D：ログインの回数が減るため、認証基盤へのサインイン画面の偽装を想定する必要はない。
【第14問：正解と解説】
正解：A
・A
正解。認証基盤が単一の入口となるため、侵害時の影響が広がる可能性がある。多要素認証、監視、適切なアカウント管理などで認証基盤を強化する。
・B
入口が一つに集約されるからこそ、認証基盤の認証は多要素化などで強化する必要があり、緩和する理由にはならない。
・C
シングルサインオンは認証を一元化するだけで、各サービスの権限が自動的に適正化されるわけではなく、定期的な確認が必要である。
・D
認証基盤のログイン画面はフィッシングの標的になり得るため、偽装への備えと利用者教育が引き続き必要である。
重要度：C
問15：Webサイトの入力画面に、ゆがんだ文字や画像を選ばせるCAPTCHAを設置する主な目的はどれか。
- A：本人確認書類との照合によって、申請者の実在性を確認する。
- B：入力内容を暗号化して送信し、通信経路上の盗聴を防止する。
- C：人間の操作と自動プログラムによる操作を区別しやすくする。
- D：登録済みの利用者本人であることを、所有物の提示によって認証する。
【第15問：正解と解説】
正解：C
・A
本人確認書類との照合による本人確認はeKYCなどの領域であり、CAPTCHAの目的ではない。
・B
通信の暗号化はTLSなどの役割であり、CAPTCHAは通信内容を保護しない。
・C
正解。CAPTCHAは、人間には解答しやすいが自動プログラムには処理しにくい課題を提示し、ボットによる大量登録や不正操作を抑制する。
・D
所有物による本人認証はICカードなどの認証方式の役割であり、CAPTCHAは本人認証そのものを行わない。
コメント