MIBT｜情報処理安全確保支援士試験 令和4年春期午前Ⅱ 問11
出典：令和4年春期 午前Ⅱ 問11
分野：セキュリティ ／ 情報セキュリティ対策
インターネットバンキングの利用時に被害をもたらすMITB（Man-in-the-Browser）攻撃に有効なインターネットバンクでの対策はどれか。
- ア：インターネットバンキングでの送金時に接続するWebサイトの正当性を確認できるよう，EV SSLサーバ証明書を採用する。
- イ：インターネットバンキングでの送金時に利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
- ウ：インターネットバンキングでのログイン認証において，一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを導入する。
- エ：インターネットバンキング利用時の通信をSSLではなくTLSを利用して暗号化するようにWebサイトを設定する。
TSUNAGARU-ADVICE
まず押さえたいこと
MITB攻撃は、利用者のブラウザ内でマルウェアが動作し、利用者が入力した送金先や金額を改ざんする攻撃です。有効な対策は、取引内容そのものにひも付いた確認を行うトランザクション署名です。
迷ったときの判断軸
EV SSLサーバ証明書やTLSは通信先や通信経路の安全性を高める対策ですが、ブラウザ内部で内容を改ざんされるMITBには十分ではありません。ワンタイムパスワードもログイン認証には有効ですが、ログイン後の送金内容改ざんには弱い場合があります。したがって、利用者が入力した取引内容と金融機関が受信した取引内容の一致を検証する対策を選びます。
科目Bにつなげるために
科目Bでは、認証強化と取引内容の保護を切り分ける力が問われます。MITB対策では、ログインできるかどうかだけでなく、送金先口座番号や金額が改ざんされていないかを確認する視点を持ちましょう。
MITB（Man-in-the-Browser）攻撃は、利用者のPCに感染したマルウェアが、Webブラウザの中で通信内容を書き換える攻撃です。
たとえば、インターネットバンキングで利用者が正しい振込先口座番号を入力しても、マルウェアがブラウザ内部で振込先を攻撃者の口座にすり替えることがあります。
MITB攻撃では、暗号化される前、または復号された後のデータが書き換えられます。そのため、通信自体がHTTPSで暗号化されていても、防ぎきれない場合があります。
この対策として使われるのが、トランザクション署名です。
マルウェアがブラウザ内で振込先や金額を書き換えても、署名コードは元の取引内容に基づいて作られています。そのため、サーバ側で不一致を検出できます。
つまりMITB攻撃は、「ブラウザの中で取引内容をこっそり書き換える攻撃」です。トランザクション署名は、「振込先や金額とひも付いた確認コード」を使って、改ざんされた取引を防ぐ仕組みです。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：インターネットバンキングでの送金時に接続するWebサイトの正当性を確認できるよう，EV SSLサーバ証明書を採用する。
⇒EV SSLサーバ証明書は、接続先Webサイトの正当性確認に役立ちます。しかし、MITB攻撃では利用者が正規サイトに接続している状態で、ブラウザ内のマルウェアが取引内容を改ざんします。そのため、Webサイトの正当性確認だけでは十分な対策になりません。
ウ：インターネットバンキングでのログイン認証において，一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを導入する。
⇒ワンタイムパスワードは、ログイン認証の強化に有効です。しかし、MITB攻撃はログイン後の送金内容をブラウザ内で改ざんする攻撃なので、ログイン時の認証を強化するだけでは、取引内容の改ざんを検出できません。
エ：インターネットバンキング利用時の通信をSSLではなくTLSを利用して暗号化するようにWebサイトを設定する。
⇒TLSによる通信暗号化は、通信経路上の盗聴や改ざんへの対策です。一方、MITB攻撃は利用者のブラウザ内部で取引内容を改ざんするため、通信経路を暗号化していても防ぎきれません。