情報処理安全確保支援士試験 平成31年度春期

問1 では，Web サイト間の情報連携を題材に，Same-Origin ポリシとCORS（Cross-Origin Resource Sharing）を用いた実装について出題した。 設問1(1)，(2)は，正答率が低かった。Web サイトA とWeb サイトB のオリジンが異なるので，Same-Origin ポリシによって，アクセスは制限される。用語とその意味を適切に理解しておいてほしい。 設問1(3)は，正答率が低かった。攻撃者が被害者の会員情報を窃取する流れを理解できれば，解答できる問 題であった。 設問3(1)は，CORS の仕組みを理解していない解答が散見された。異なるOrigin のリソースにアクセスを許 可する際には，CORS を使う場合があるので，理解しておいてほしい。 設問3(3)は，正答率が高かった。複数のオリジンからのアクセスを許可する場合に，どのように実装すれば よいかを，本文から正しく読み取り解答されていた。

問2 では，クラウドサービスのセキュリティを題材に，通信を攻撃者に中継され得る環境下での認証方式の 強化について出題した。 設問1(1)，(2)は，全体的に正答率が高かった。攻撃者の用意した無線アクセスポイントに誘導される仕組み について十分理解されていた。 設問2(1)は，正答率が低かった。通信を攻撃者に中継され得る環境下では，ネットワーク上を流れる情報 は，ワンタイムパスワードのような毎回変わる情報であっても，攻撃者に悪用され得ることを理解しておいて ほしい。 設問2(2)は，正答率が低かった。公開鍵と秘密鍵を取り違えている解答が散見された。ディジタル署名の仕 組みについて理解しておいてほしい。 設問2(3)は，正答率が低かった。中間者攻撃では偽装できない情報が何かを考えれば，解答できる問題であ った。被害者が署名したデータを攻撃者がそのまま悪用することを想定していない，“攻撃者が入手できない オーセンティケータの秘密鍵で署名しているから”といった解答が一部に見られた。

問3 では，IoT 機器を題材に，サーバ間での認証連携，及びIoT 機器への物理的な不正アクセスへの対策に ついて出題した。 設問2(1)は，正答率が高かった。本問のような認証連携方式では，利用を許可するリソースの範囲を認証ト ークンに含める必要があることについて，よく理解されていた。 設問2(4)は，正答率が高かったが，公開鍵と秘密鍵を取り違えている解答が一部に見られた。公開鍵暗号方 式やディジタル署名はセキュリティ技術の基礎なので，よく理解しておいてほしい。 設問3 は，ハッシュ値リストを保護するためにTPM（Trusted Platform Module）を用いる解答を期待した が，ディジタル署名の付与についてだけ記述し，秘密鍵の保護を考慮していない解答が散見された。ハッシュ 値リストにディジタル署名を付与した場合，秘密鍵が盗まれてしまうと，不正にディジタル署名を付与され， データの改ざんを検出できなくなってしまうおそれがある。IoT 機器では特に物理的な不正アクセスへの対策 が重要になるので，TPM 及び設問2(6)で出題した耐タンパ性についてよく理解しておいてほしい。

問1 では，無線LAN を侵入経路としたマルウェアへの感染を題材に，マルウェアの調査と対策について出 題した。 設問2 は，正答率が低かった。マルウェアは，発見されないよう自らの動作や存在の痕跡を消去することが 多い。消去されたファイルも，セキュリティインシデント対応において，大きな手掛かりとなることが多いの で，証拠保全の方法について理解しておいてほしい。 設問3(1)は，正答率が低かった。WPA2 であっても，MAC アドレスが含まれるイーサネットフレームのヘッ ダ部は暗号化されないことを理解しておいてほしい。 設問6 は，全体的に正答率が低かった。プロキシ経由の場合も含め，HTTPS（HTTP over TLS）のセッショ ン確立までの手順と，その手順の中でディジタル証明書が果たす役割について理解しておいてほしい。また， HTTPS 復号機能は，外部との間でHTTPS 通信を行うマルウェアへの対策として有効であるが，一方で制約も あることも理解しておいてほしい。

問2 では，セキュリティインシデントの対応を題材に，サーバの設定について出題した。 設問1 は，正答率が低かった。完全性，可用性といった解答が散見された。企業では，営業秘密の管理は重 要なので，営業秘密の要件は理解しておいてほしい。 設問3(4)は，正答率が低かった。CRYPTREC では，安全な暗号アルゴリズムの一覧を掲載している。暗号 アルゴリズムの選択の際に必要となるので覚えておいてほしい。 設問5(4)は，正答率が低かった。A 社標準ソフトの脆 ぜい 弱性の検出といった解答が散見された。マルウェアに 感染したPC が見つかった際に，他のPC 及びサーバでフルスキャンする目的について，理解しておいてほし い。 設問6(1)は，正答率が低かった。A 社の内部システムLAN 上のサーバの機能と利用方法を理解した上で， 解答してほしかった。