平成31年度 春期 情報処理安全確保支援士試験 午後I 過去問・解説

大問1　Web APIとCORS（配点50点）

問1 Webサイトのセキュリティに関する次の記述を読んで，設問1〜3に答えよ。 M社は，従業員数200名の小売業である。コーポレートサイトであるWebサイトA（URL：https://site-a.m-sha.co.jp/）と，自社の特定のブランドを取り扱うECサイト（以下，ブランドサイトという）を複数運営している。現在運営しているブランドサイトは，WebサイトBからWebサイトFの五つである…

設問

• 本文中の a に入れる適切な字句を答えよ。
• 本文中の b ～ d に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線①について，操作の具体的な内容を，20字以内で答えよ。
• 本文中の e に入れる適切な記号を，（ⅲ）〜（ⅵ）の中から選び，答えよ。
• 表1中の f に入れる適切なURLを答えよ。
• 表1中の g に入れる適切な字句を30字以内で答えよ。
• 本文中の h ， i に入れる適切な字句を，それぞれ20字以内で，本文中の j に入れる適切な字句を，5字以内で答えよ。

大問2　クラウドサービスの認証方式強化（配点50点）

問2 クラウドサービスのセキュリティに関する次の記述を読んで，設問1，2に答えよ。 U社は，東京に本社をもつ従業員数1,000名の商社である。複数の海外拠点と本社を設置し，海外向けに営業展開している。海外拠点の従業員数は1拠点当たり十数名ほどである。 本社の情報システムは，本社の情報システム部が管理しており，各海外拠点の情報システムは，現地の情報システム担当者が管理している…

設問

• 図2中の下線①について，攻撃者が用意した無線LANアクセスポイントには何が設定されていたと考えられるか。設定を30字以内で述べよ。
• 図2中の a ， b に入れる適切な字句を，本文，図1又は図2中の字句を用いて答えよ。
• 図2中の下線①について，この時，サーバ証明書が信頼できない旨のエラーが表示されなかったのはなぜか。メールサービスPにHSTSが実装されていないことを踏まえ，理由を20字以内で述べよ。
• 本文中の下線②について，偽サイトにおいてどのような処理が行われればメールサービスPへの不正アクセスが成立するか。行われる処理を35字以内で述べよ。
• 図5及び図6中の c ～ f に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線④について，理由を図5又は図6中の字句を用いて，40字以内で述べよ。

大問3　家庭用ゲーム機IoTの認証連携と物理対策（配点50点）

問3 IoT機器の開発に関する次の記述を読んで，設問1〜3に答えよ。 V社は，IoT機器を製造・販売している従業員数3,000名の会社である。家庭用ゲーム機（以下，ゲーム機Vという）の発売を予定しており，設計を開発部が担当している。設計リーダは，開発部のBさんである。利用者はゲーム機Vとゲームプログラムの利用権を購入し，ゲーム機Vからゲームサーバ上のゲームプログラムを利用する…

設問

• 本文中の下線①に該当する方式はどれか。該当する方式を解答群の中から選び，記号で答えよ。
• 本文中の下線②について，対策として認証トークンに追加する必要がある情報を，15字以内で答えよ。
• 本文中の下線③について，その原因となるゲームサーバの仕様を，30字以内で答えよ。
• 本文中の下線④について，その原因となる認証トークンの仕様を，20字以内で答えよ。また，不正に生成した認証トークンで利用できるゲームプログラムの範囲を，35字以内で答えよ。
• 本文中の a ～ c に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線⑤について，どのようにするとクライアント証明書と鍵CをPCなどから使用できるようにしてしまうことができるか。攻撃者が使用前に行う必要があることを，25字以内で具体的に述べよ。
• 本文中の下線⑥について，このような性質を何というか。10字以内で答えよ。
• 本文中の下線⑦について，保護するための適切な方法を本文中の用語を使って，25字以内で具体的に述べよ。

この回の出題傾向と学習ポイント

平成31年度春期の午後Iは、Web APIとCORS、クラウドメールサービスの認証方式強化、家庭用ゲーム機というIoT機器の認証連携と物理対策の3問構成の選択制です。ブラウザのセキュリティモデル、フィッシングを想定した認証強化、メッセージ認証コードや証明書の保護と、認証・暗号まわりの理解を異なる切り口で試す回です。

問1　Web APIとCORS

複数ブランドサイト間の情報連携を題材に、同一オリジンポリシーとCORSの仕組みを問う大問です。設問は空欄補充が中心で、解答群からの記号選択のほか、適切なURLやレスポンスヘッダに入れる字句を20〜30字で答えさせる形式が並びます。オリジンの定義、プリフライトを含むCORSのやり取り、Cookieを利用したセッション管理との関係を正確に説明できるかが得点を分けます。

問2　クラウドサービスの認証方式強化

海外拠点の従業員アカウントからの不審メール送信をきっかけに、攻撃者が用意した無線LANアクセスポイントと偽サイトによる認証情報窃取の経緯を解明し、認証方式を強化する題材です。サーバ証明書のエラーが出なかった理由をHSTS未実装を踏まえて述べる設問、認証フローの空欄選択、強化方式が有効な理由の記述など、フィッシング攻撃の手口と対策の対応関係を問う構成です。

問3　家庭用ゲーム機IoTの認証連携と物理対策

ゲーム機・認証サーバ・ゲームサーバ間の認証トークン設計をレビューする大問です。MAC（メッセージ認証コード）の生成方式の選択、トークンに追加すべき情報や不正利用の原因となる仕様を15〜35字で答える設問、クライアント証明書と鍵を抜き出す攻撃、性質の名称を10字以内で答える設問、ブートローダの保護方法まで続きます。共通鍵運用の弱点を見抜く目が問われます。

3問とも「認証で何を検証しているか」を意識すると解答方針が定まります。CORSヘッダ・証明書検証・MACのそれぞれについて、検証が破られる条件を言えるようにしておきましょう。