MITB攻撃に有効な対策｜情報処理安全確保支援士 平成30年 秋期午前Ⅱ試験 問9
出典：平成30年秋期 午前Ⅱ 問9
分野：セキュリティ ／ 情報セキュリティ対策
インターネットバンキングの利用時に被害をもたらすMITB（Man in the Browser）攻撃に有効な対策はどれか。
- ア：インターネットバンキングでの送金時に接続するWebサイトの正当性を確認できるよう，EV SSLサーバ証明書を採用する。
- イ：インターネットバンキングでの送金時に利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
- ウ：インターネットバンキングでのログイン認証において，一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを用意する。
- エ：インターネットバンキング利用時の通信をSSLではなくTLSを利用して暗号化する。
TSUNAGARU-ADVICE
まず押さえたいこと
MITB（Man in the Browser）攻撃は、利用者のPC上のブラウザに入り込んだマルウェアが、利用者の入力内容や送信内容を改ざんする攻撃です。インターネットバンキングでは、振込先や金額が途中で書き換えられるおそれがあるため、利用者が入力した取引内容と金融機関が受信した取引内容に差異がないかを検証できるトランザクション署名が有効です。
迷ったときの判断軸
EV SSLサーバ証明書やTLSは、接続先の正当性確認や通信経路の暗号化には有効ですが、利用者のブラウザ内で送信内容が改ざんされるMITB攻撃には十分ではありません。ワンタイムパスワードもログイン認証の強化には有効ですが、ログイン後の振込内容すり替えを防ぎきれません。MITB対策では、取引内容そのものに紐付いた認証情報を使うかで判断しましょう。
科目Bにつなげるために
科目Bでは、フィッシング・中間者攻撃・MITB・ワンタイムパスワード・トランザクション署名の違いが問われることがあります。送金処理では、利用者認証だけでなく、振込先口座番号や金額を含めて署名し、取引内容の改ざんを検知する視点を持ちましょう。
MITB攻撃は、利用者のPCに侵入したマルウェアがWebブラウザの通信や画面表示を不正に操作し、利用者が入力した振込先口座番号や振込金額を書き換える攻撃です。
トランザクション署名では、振込先口座番号や振込金額などの取引内容を基に署名情報を生成します。金融機関側で受信した取引内容と照合することで、ブラウザ内で取引内容が改ざんされた場合に差異を検出できます。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：インターネットバンキングでの送金時に接続するWebサイトの正当性を確認できるよう，EV SSLサーバ証明書を採用する。
⇒EV SSLサーバ証明書は、接続先Webサイトの正当性を確認するための対策です。フィッシング対策には役立ちますが、正規のWebサイトへ接続した後にブラウザ内部で取引内容を改ざんするMITB攻撃には十分な効果がありません。
ウ：インターネットバンキングでのログイン認証において，一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを用意する。
⇒ワンタイムパスワードは、認証情報の盗用や再利用への対策です。しかし、MITB攻撃では正規利用者が認証した後の取引内容が改ざんされるため、ログイン認証を強化するだけでは防止できません。
エ：インターネットバンキング利用時の通信をSSLではなくTLSを利用して暗号化する。
⇒TLSは通信経路上の盗聴や改ざんを防ぐための技術です。MITB攻撃では、暗号化される前又は復号された後のブラウザ内部で情報が改ざんされるため、通信をTLSで暗号化していても防止できません。