トランザクション署名｜情報処理安全確保支援士 平成31年 春期午前Ⅱ試験 問8

出典：平成31年春期 午前Ⅱ 問8 分野：セキュリティ ／ 情報セキュリティ対策
インターネットバンキングサービスを提供するWebサイトを利用する際に，トランザクション署名の機能をもつハードウェアトークンを利用する。次の処理を行うとき，(4)によってできることはどれか。ここで，ハードウェアトークンは利用者ごとに異なり，本人だけが利用する。

〔処理〕
(1)ハードウェアトークンに振込先口座番号と振込金額を入力し，メッセージ認証符号（MAC）を生成する。
(2)Webサイトの振込処理画面に振込先口座番号，振込金額及び(1)で生成されたMACを入力し，Webサイトに送信する。
(3)Webサイトでは，本人に発行したハードウェアトークンと同じ処理手順によって振込先口座番号と振込金額からMACを生成する。
(4)Webサイトでは，(2)で入力されたMACと，(3)で生成したMACを比較する。
  • ア：通信経路において盗聴されていないことを確認できる。
  • イ：通信経路における盗聴者を特定できる。
  • ウ：振込先口座番号と振込金額が改ざんされていないことを確認できる。
  • エ：振込先口座番号と振込金額の改ざんされた箇所を訂正できる。
この問題を解く
解説

トランザクション署名では、振込先口座番号や振込金額など、取引内容そのものを基にMACを生成します。

Webサイト側でも同じ取引内容からMACを生成し、利用者が入力したMACと比較します。通信途中で振込先口座番号や振込金額が改ざんされると、Webサイト側で生成されるMACが一致しなくなるため、取引内容の改ざんを検知できます。

したがって、ウが適切です。

❌他選択肢が誤りの理由
ア：通信経路において盗聴されていないことを確認できる。
⇒MACの比較によって確認できるのは、取引内容の完全性です。通信内容が盗聴されたかどうかまでは確認できません。盗聴対策には、TLSなどによる通信の暗号化が必要です。
イ：通信経路における盗聴者を特定できる。
⇒MACには、盗聴者を特定する機能はありません。MACは、共有された秘密情報を用いて、データが改ざんされていないことや正当な生成者によるものであることを確認するために使われます。
エ：振込先口座番号と振込金額の改ざんされた箇所を訂正できる。
⇒MACの比較によって改ざんの有無は検知できますが、どの箇所が改ざんされたかを特定したり、元の内容へ訂正したりすることはできません。
TSUNAGARU-ADVICE

まず押さえたいこと

トランザクション署名では、振込先口座番号や振込金額など、取引内容に結び付いた認証情報を生成します。Webサイト側で同じ取引内容から生成したMACと、利用者が入力したMACを比較することで、取引内容が途中で改ざんされていないかを確認できます。

迷ったときの判断軸

MACは、盗聴されていないことを確認する仕組みではなく、盗聴者を特定する仕組みでもありません。また、改ざん箇所を自動で訂正することもできません。ここでは、振込先口座番号や振込金額が変えられるとMACが一致しなくなるため、改ざんの有無を検知できると判断しましょう。

科目Bにつなげるために

科目Bでは、ワンタイムパスワードとトランザクション署名の違いが問われることがあります。単なるログイン認証ではなく、振込先や金額などの取引内容をMACに含めることで、マルウェアや中間者攻撃による振込内容のすり替えを検知しやすくなる点を押さえましょう。

前の問題へ 試験TOPへ 次の問題へ