サイドチャネル攻撃｜情報処理安全確保支援士試験 令和2年 秋期午前Ⅱ試験 問4
出典：令和2年秋期 午前Ⅱ 問4
分野：セキュリティ ／ 情報セキュリティ
サイドチャネル攻撃の説明はどれか。
- ア：暗号アルゴリズムを実装した攻撃対象の物理デバイスから得られる物理量（処理時間や消費電流など）やエラーメッセージから，攻撃対象の秘密情報を得る。
- イ：企業などの秘密情報を窃取するソーシャルエンジニアリングの手法の一つであり，不用意に捨てられた秘密情報の印刷物をオフィスの紙ごみの中から探し出す。
- ウ：通信を行う2者間に割り込んで，両者が交換する情報を自分のものとすり替えることによって，その後の通信を気付かれることなく盗聴する。
- エ：データベースを利用するWebサイトに入力パラメータとしてSQL文の断片を送信することによって，データベースを改ざんする。
TSUNAGARU-ADVICE
まず押さえたいこと
サイドチャネル攻撃は、暗号アルゴリズムそのものを数学的に破るのではなく、物理デバイスの動作から漏れる情報を利用して秘密情報を推定する攻撃です。代表例として、処理時間、消費電流、電磁波、エラーメッセージなどを手掛かりにします。
迷ったときの判断軸
紙ごみから秘密情報を探すのはスキャベンジング、中間に割り込んで通信を盗聴・改ざんするのは中間者攻撃、SQL文の断片を送り込むのはSQLインジェクションです。サイドチャネル攻撃は、処理そのものではなく、処理に伴って外へ漏れる副次的な情報を使うと判断しましょう。
科目Bにつなげるために
科目Bでは、暗号方式が安全でも、実装や装置の挙動から情報が漏れるリスクを問われることがあります。サイドチャネル攻撃は、アルゴリズムの強度だけでなく、実装・運用・物理的な対策も重要であることを示す攻撃として整理しておきましょう。
サイドチャネル攻撃は、暗号装置やコンピュータの正規の出力ではなく、処理中に外へ漏れる情報を手掛かりにして、暗号鍵などの秘密情報を推測する攻撃です。
サイドチャネルとは、「正規ではない情報の通り道」という意味です。たとえば、処理にかかる時間・消費電力・発生する電磁波・計算ミスなどが手掛かりになります。
サイドチャネル攻撃は、暗号アルゴリズムそのものを正面から破る攻撃ではありません。機器が動作するときに生じる副次的な情報を観察して、秘密情報を推測する点が特徴です。
つまりサイドチャネル攻撃は、「処理時間・電力・電磁波など、横から漏れる情報を使って秘密情報を探る攻撃」と考えると分かりやすいです。
したがって、アが適切です。
❌他選択肢が誤りの理由イ：企業などの秘密情報を窃取するソーシャルエンジニアリングの手法の一つであり，不用意に捨てられた秘密情報の印刷物をオフィスの紙ごみの中から探し出す。
⇒トラッシングの説明です。捨てられた書類や記録媒体などから情報を盗み出す手法であり、暗号処理時の物理量やエラー情報を利用するサイドチャネル攻撃とは異なります。
ウ：通信を行う2者間に割り込んで，両者が交換する情報を自分のものとすり替えることによって，その後の通信を気付かれることなく盗聴する。
⇒中間者攻撃の説明です。通信経路上に割り込んで情報を盗聴・改ざんする攻撃であり、攻撃対象の物理デバイスから得られる処理時間や消費電流などを利用する攻撃ではありません。
エ：データベースを利用するWebサイトに入力パラメータとしてSQL文の断片を送信することによって，データベースを改ざんする。
⇒SQLインジェクションの説明です。Webアプリケーションの入力処理の不備を悪用してSQL文を不正に実行させる攻撃であり、暗号装置の周辺情報から秘密情報を推定するサイドチャネル攻撃とは異なります。