トランザクション署名の説明｜情報セキュリティマネジメント 令和元年 秋期午前試験 問13
出典：令和元年秋期 午前 問13
分野：セキュリティ ／ 情報セキュリティ対策
インターネットバンキングでのMITB攻撃による不正送金について，対策として用いられるトランザクション署名の説明はどれか。
- ア：携帯端末からの送金取引の場合，金融機関から携帯端末の登録メールアドレスに送金用のワンタイムパスワードを送信する。
- イ：特定認証業務の認定を受けた認証局が署名したデジタル証明書をインターネットバンキングでの利用者認証に用いることによって，ログインパスワードが漏えいした際の不正ログインを防止する。
- ウ：利用者が送金取引時に，送金処理を行うPCとは別のデバイスに振込先口座番号などの取引情報を入力して表示された値をインターネットバンキングに送信する。
- エ：ログイン時に，送金処理を行うPCとは別のデバイスによって，一定時間だけ有効なログイン用のワンタイムパスワードを算出し，インターネットバンキングに送信する。
TSUNAGARU-ADVICE
まず押さえたいこと
トランザクション署名は、単に利用者本人を認証するのではなく、振込先口座番号や金額などの取引内容そのものが正しいことを別のデバイスで確認し、その取引に対応した値を生成する仕組みです。MITB攻撃によってPC上の送金内容を書き換えられても、別デバイス側で取引内容を確認できる点が重要です。
迷ったときの判断軸
ワンタイムパスワードは主に「誰が操作しているか」という認証を強化しますが、トランザクション署名は何を送金しようとしているかという取引内容と認証を結び付ける点が特徴です。「別デバイスに振込先口座番号などを入力する」「取引内容に応じた値を生成する」といった記述に注目しましょう。
科目Bにつなげるために
科目Bでは、MITBによってブラウザ上の振込先や金額が書き換えられる事例で、通常のワンタイムパスワードだけでは防ぎにくい理由が問われます。認証情報だけでなく取引内容まで別経路で確認するという考え方を押さえ、攻撃者がどの情報を改ざんできるのかまで追って対策を判断しましょう。
トランザクション署名は、インターネットバンキングで送金するときに、振込先口座番号や金額などの取引情報を基に確認用の値を生成し、その値を使って取引内容が改ざんされていないことを確認する仕組みです。
MITB攻撃のように、PC上で送金先や金額を書き換えられる攻撃への対策として利用されます。
本問では、「送金処理を行うPCとは別のデバイスに振込先口座番号などの取引情報を入力して」「表示された値をインターネットバンキングに送信する」という部分が判断のポイントです。取引内容そのものに基づいて確認用の値を生成しているため、ウが適切です。
❌他選択肢が誤りの理由ア：携帯端末からの送金取引の場合，金融機関から携帯端末の登録メールアドレスに送金用のワンタイムパスワードを送信する。
⇒ワンタイムパスワードを利用した追加認証の説明です。振込先口座番号などの取引情報と結び付けて確認用の値を生成するトランザクション署名とは異なります。
イ：特定認証業務の認定を受けた認証局が署名したデジタル証明書をインターネットバンキングでの利用者認証に用いることによって，ログインパスワードが漏えいした際の不正ログインを防止する。
⇒デジタル証明書を利用した利用者認証の強化に関する説明です。ログイン時の不正利用対策であり、送金内容の改ざんを検知するトランザクション署名ではありません。
エ：ログイン時に，送金処理を行うPCとは別のデバイスによって，一定時間だけ有効なログイン用のワンタイムパスワードを算出し，インターネットバンキングに送信する。
⇒ワンタイムパスワードによるログイン認証の説明です。トランザクション署名は、単に一定時間有効な値を生成するのではなく、振込先や金額などの取引情報を基に値を生成する点が異なります。