平成25年度 秋期 情報セキュリティスペシャリスト試験 午後I 過去問・解説

大問1　Webシステムのクロスサイトスクリプティング対策（配点50点）

問1 Webシステムのクロスサイトスクリプティング対策に関する次の記述を読んで，設問1，2に答えよ。 E社は，提携店舗数100店の賃貸不動産仲介業者である。E社では，3年前に開発した Webシステム（以下，Eシステムという）を用いて賃貸物件情報を提供している。Eシステムの運用はシステム部が担当し，Eシステムの保守とコンテンツの開発はEシステムの開発を担当したB社に委託している…

設問

• 表2の検出パターン1〜4は，それぞれ表1の②〜⑥の実施項目の不備を検出できるものか。それぞれ表1の②〜⑥の中から選び，記号で答えよ。
• 本文中の a に入れる適切な検出パターンを1〜4から選び答えよ。
• 本文中の b に入れる適切な行番号を答えよ。
• 図1のプログラムの b 行目に対して実施するXSS対策を40字以内で述べよ。
• 本文中の c ， d に入れる適切な行番号を答えよ。
• 本文中の e に入れる最も適切な実施項目を表1の②〜⑥から選び答えよ。
• 本文中の f に入れる適切な字句を，表2中の語句を用いて20字以内で答えよ。
• 本文中の g に入れる適切なメソッド名を答えよ。
• 本文中の h に入れる適切な行番号を答えよ。
• 本文中の i に入れる最も適切な実施項目を表1の②〜⑥から選び答えよ。
• 本文中の j に入れる適切な修正後の1行のソースコードを答えよ。

大問2　スマートフォンアプリケーションを用いたサービスのセキュリティ（配点50点）

問2 スマートフォンアプリケーションに関する次の記述を読んで，設問1～3に答えよ。 R社は，従業員数1,000名の飲食店情報提供サービス会社である。R社では，会員制Webサイトで飲食店情報や割引クーポンを提供してきた。今回，会員数を更に増やすために，新たにR社スマートフォンアプリケーション（以下，スマホアプリという）を利用したサービスを提供することを決め，プロジェクトを立ち上げた…

設問

• 本文中の下線①について，C課長が本文中の下線①のように判断したのは，端末識別番号のどのような特性からか。20字以内で述べよ。
• 本文中の下線②の鍵付きハッシュ関数を解答群の中から選び，記号で答えよ。
• 本文中の下線③について，どのような手法で鍵を知られてしまうか。30字以内で述べよ。
• 〔予約案内サービスの問題〕について，A案の実現方法を，40字以内で述べよ。
• 本文中の下線④について，利用者Vはパラメタの値を変更することによって利用者Wの予約情報を取得できたか。値を変更したパラメタを，図4から選び，二つ答えよ…
• 他人の予約情報を取得できてしまう問題の対策として，図3の2.にどのような仕様を追加すればよいか。追加する仕様を55字以内で述べよ。

大問3　パブリッククラウドサービスの安全な利用（2要素認証と事業継続）（配点50点）

問3 パブリッククラウドサービスの安全な利用に関する次の記述を読んで，設問1〜3に答えよ。 P社は，経営コンサルティングを行っている。従業員数60名の会社であり，オフィスは東京にある。P社は，オフィスに常駐している従業員と，主に客先や自宅で作業を行い，打合せのときだけオフィスに出社する従業員がいる…

設問

• 本文中の下線①について，どのような方法で第三者が仮パスワードを入手することができるか。また，その対策としてどのように本人確認すればよいか。それぞれ25字以内で述べよ。
• 本文中の下線②について，不正使用が長期間続く理由を30字以内で，対策を70字以内で具体的に述べよ。
• 表2中の a 〜 c に入れる実施事項を，a は35字以内で，b は25字以内で，c は15字以内で述べよ。

この回の出題傾向と学習ポイント

平成25年度秋期の午後Iは、WebシステムのXSS対策、スマートフォンアプリのサービス設計、パブリッククラウドの安全利用という3問構成の選択制です。ソースコードの検査・修正から認証設計、事業継続まで幅が広く、いずれも本文の図表と突き合わせて答えを組み立てる読解型の設問が中心の回です。

問1　Webシステムのクロスサイトスクリプティング対策

IPAの“安全なウェブサイトの作り方”と“ウェブ健康診断”を題材に、Javaで書かれた図1のプログラムを検査・修正する実装寄りの大問です。検出パターンと実施項目の対応を選ぶ選択問題に加え、脆弱な行番号の特定、40字以内での対策記述、修正後のソースコードを1行書かせる設問まであります。XSSのエスケープ処理をコードレベルで具体的に説明できるよう準備しておきましょう。

問2　スマートフォンアプリケーションを用いたサービスのセキュリティ

飲食店情報サービスのスマホアプリ開発を題材に、端末識別番号（IMEI）を利用者認証に使う危うさ、鍵付きハッシュ関数の選択、パラメタ改変による他人の予約情報の取得と、その対策仕様の追加（55字以内）が問われます。大半が20〜55字の記述式で、本文の会話と図4のパラメタを根拠に、認証・認可の設計不備を自分の言葉で説明する力が必要です。

問3　パブリッククラウドサービスの安全な利用（2要素認証と事業継続）

SaaS型ファイル共有サービスを利用する経営コンサルティング会社が舞台です。仮パスワードを第三者が入手する手口と本人確認の方法、不正使用が長期間続く理由と対策、サービス停止に備えた実施事項の穴埋めと、全問が15〜70字の記述式です。認証強化と事業継続という運用面のテーマで、対策を指定字数内に具体的にまとめる練習が有効です。

3問とも解答の根拠は本文の図表にあり、選択問題よりも字数指定の記述が中心です。演習では字数内に「原因＋対策」を収める書き方を意識し、問1はコードを実際に追いながら解くことをお勧めします。