MITB攻撃に有効な対策｜情報処理安全確保支援士 平成29年 春期午前Ⅱ試験 問11
出典：平成29年春期 午前Ⅱ 問11
分野：セキュリティ ／ 情報セキュリティ対策
インターネットバンキングの利用時に被害をもたらすMITB（Man-in-the-Browser）攻撃に有効な対策はどれか。
- ア：インターネットバンキングでの送金時にWebブラウザで利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
- イ：インターネットバンキングでの送金時に接続するWebサイトの正当性を確認できるよう，EV SSLサーバ証明書を採用する。
- ウ：インターネットバンキングでのログイン認証において，一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを用意する。
- エ：インターネットバンキング利用時の通信をSSLではなくTLSを利用して暗号化する。
TSUNAGARU-ADVICE
まず押さえたいこと
MITB（Man-in-the-Browser）攻撃は、利用者のPC上のブラウザに入り込んだマルウェアが、送金先口座番号や金額などを利用者に気付かれないように改ざんする攻撃です。対策としては、利用者が入力した取引内容と金融機関が受信した取引内容に差異がないことを確認できる、トランザクション署名が有効です。
迷ったときの判断軸
EV SSLサーバ証明書は接続先サイトの正当性確認、ワンタイムパスワードはログイン認証の強化、TLSによる暗号化は通信経路上の盗聴・改ざん対策に有効です。しかし、MITBでは利用者のブラウザ内で取引内容が改ざんされるため、通信路やログインだけを強化しても十分ではありません。判断するときは、送金先や金額そのものを確認できるかに注目しましょう。
科目Bにつなげるために
科目Bでは、インターネットバンキング・マルウェア感染端末・ワンタイムパスワード・TLS・電子署名・トランザクション署名などを組み合わせて問われることがあります。重要な取引では、誰がログインしたかだけでなく、承認した取引内容と実際に処理される内容が一致しているかを確認する視点を持ちましょう。
MITB攻撃は、利用者のWebブラウザに侵入したマルウェアが、送金先口座や送金金額などの入力内容を、利用者に気付かれないように書き換える攻撃です。
トランザクション署名では、送金先や金額などの取引内容に対して署名を付与し、利用者が入力した内容と金融機関が受信した内容に差異がないことを確認できます。そのため、取引内容の改ざんを検知する対策として有効です。
したがって、アが適切です。
❌他選択肢が誤りの理由イ：インターネットバンキングでの送金時に接続するWebサイトの正当性を確認できるよう，EV SSLサーバ証明書を採用する。
⇒EV SSLサーバ証明書は、接続先Webサイトの正当性確認に役立ちます。しかし、MITB攻撃では正規サイトへ接続した後、ブラウザ内部で取引内容が改ざんされるため、十分な対策にはなりません。
ウ：インターネットバンキングでのログイン認証において，一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを用意する。
⇒ワンタイムパスワードは、認証情報の盗用や再利用への対策です。しかし、ログイン後の正規セッション内で送金内容を改ざんするMITB攻撃を防ぐことはできません。
エ：インターネットバンキング利用時の通信をSSLではなくTLSを利用して暗号化する。
⇒TLSは通信経路上の盗聴や改ざんを防ぐ仕組みです。MITB攻撃はブラウザ内部で取引内容を書き換えるため、通信をTLSで暗号化しても防止できません。