情報処理安全確保支援士(情報セキュリティスペシャリスト)試験に合格するためのサイトです。
過去問を多数引用しながら、基礎知識をしっかり学んでもらうように作ってあります。
また、情報処理安全確保支援士(情報セキュリティスペシャリスト)を楽しく学べるように工夫したいと思います。
カテゴリ:

4.認証

Q 知らない店からのクレジット請求がきました。どうやら、クレジット番号を不正使用して第三者がその店から購入したようです。
この場合、誰が責任をとる?
 1.利用者 
 2.店 
 3.クレジットカード会社
状況によりますが、店(だと思われます。)
お店が本人確認などを怠ったという理由です。サインをきちんと確認しなかったなどの場合です。
3Dセキュアなどを導入していれば店の責任ではなくカード会社が保障することになるかもしれません。
とはいえ、無用なトラブルに巻き込まれたり、もやもやしないために、カードには上限額の設定をしておくとよいでしょう。カード会社によっては、自動増額設定がされてある場合があります。いつのまにか上限が100万円という大金になっている場合があります。クレジットカード会社への確認も必要ですね。
sef1
話が変わりますが、解約したカードがあるんですけど、そのカードから請求書が届きました。
しかも、私の銀行口座から引き落としをするんですって。

びっくりしました。
その点は、知らない人もいるが、そうらしい。
クレジットカードを解約したら、カード会社との関係が切れると思っていたが、某社(だけ?)の場合は7年間、情報を保持するということ。つまり、その間に請求が来たら、銀行口座から引き落とされる。
 d18680c9 
今回の場合は、私が年間契約の支払い情報を変更していなかったのが原因。
だから、私の責任と思っている。
でも、不正な第三者が請求をした場合でも、同じように請求されることがあるということが分かった。
そう。だから、初回の特典を期待して、カードをたくさん作るという行為はやめた方がいいだろうね。

c2f058cb

パスワードは誰が管理すべきかですか・・・
誰でもいいと思います。
ようは、不正な第三者に見られなければいいので。


この点に関する過去問があるので、みてみよう。
利用者のパスワードを変更する方式には2案ある。一つは,利用者が自分で変更する方式であり,もう一つは,情報システム部が一括して変更し,それを利用者に通知する方式である。しかし,情報システム部が一括して変更し,それを利用者に通知する方式では,③情報セキュリティ対策上,望ましくないので,利用者が自分でパスワードを変更できることを要件として設定した。

設問3 本文中の下線③で,望ましくないとしている理由を, 40字以内で述べよ。(H20秋SU午後2問1)

試験センターの解答例は以下である。
特に2つ目が重要だ。
・パスワードを本人に通知する過程で漏えいするリスクかおるから
・その利用者IDを利用した者が,確実に本人であることを保証できないから
知識認証であるパスワードというのは、本人しか知りえない情報を使って認証するから、第三者が不正にアクセスすることができない。同時に、その本人がアクセスしたという大事な証拠になるのだ。
db2fc28c
なるほど!
これは、全員が同じパスワードを利用する場合も同じことが言えますね。
社内システムでは、全員が共通のIDとパスワードでログインしているものがあります。それだと、社員以外の人は使えないという秘匿性のメリットはあります。でも、誰かが不正利用したとしても、その特定ができません。

生態認証ではなく、生体認証。
生態とは、生きている様を表した言葉で、生体は体そのものを指す。
dcf52feb


生体認証よりも、ICカードなど所有物認証の方が
サービス提供側は簡単ではないのでしょうか。



それはそう。生体認証をするための指紋認証装置や静脈認証の装置は割高だし、登録にも手間がかかるからね。
それでも、生体認証にはメリットがある。それは以下である。
①セキュリティが高い
②盗まれにくい
③覚える必要がない。(運用が簡単)

パスワードは簡単に盗まれる可能性がある。これに対し、指紋は盗まれにくい。パスワードは、「定期的に変更しろ、複雑なものにしろ」との要求が強くなっており、結局画面にはったり、文書化して保存することも多い。これでは本末転倒。
 生体認証の最大の強みは、ICカードなどと違って、貸し借りができないことである。ただ、なりすましが無理かというと、100%そうとも言い切れない。人工模造物によるなりすましのリスクもある。

話が変わるが、「挑む力 世界一を獲った富士通の流儀」(日経BP社)には、静脈認証の効果について、「ブラジルでは年金を受け取るために、1年に1回、受給口座のある銀行に出向いて「生きています」という証明をしなければならない。だが、ATMの手のひら静脈認証をパスした人は、生存が証明でき、この手続きが不要になった」とも述べられている。こんな効果もあったようだ。


生体認証には様々な種類がある。
たとえば、以下。

指紋認証
 人間の指紋だけでなく、猫の肉球でも認証できたようだ。
 指紋は薄い人がいることや、表にでるから偽造しやすいこと、誤検知と見逃しも多いことから、静脈が推奨である。

静脈パターン認証

虹彩認証
 正式名称ではないが、目には俗に言う白目と黒目がある。この黒目の中で、中心部分が瞳孔、その周りが虹彩である。

声紋認証

顔認証

網膜認証
db2fc28c

顔認証はUSJで採用されていますよね。
たしか、NEC製だったと思います。



過去問を解いてみよう。
問50 バイオメトリクス認証に使われるもので,小型光学式センサや薄型静電式センサから入力した画像を,特徴点抽出方式やパターンマッチングによって照合するものはどれか。
ア 虹(こう)彩
イ 指紋
ウ 声紋
エ 網膜 (H18秋AD午前問50)
種類はたくさんあれど、設問で問われるのはオーソドックスなのもばかりかもしれない。
正解は、イ

もう一問。
問68 生体認証の仕組みとして,静脈パターンを利用するものはどれか。
ア 顔認証
イ 虹(こう)彩認証
ウ 声紋認証
エ 掌(てのひら)認証 (H23春IP)
正解は、エ

17ddb782.jpg

電話で申し込みや変更手続きをするときがあるけど、住所や電話番号を言うだけの確認だったら、他人でもできるよね?




最近はセキュリティもしっかりしていて、そうでもない。登録したメールアドレスを言う必要があったり、携帯会社だと4桁のパスワードを言う必要がある。オペレータの画面にも表示されず、オペレータは入力するだけなので、電話した人が知らなければ本当に認証されない。
それに契約変更などが行われたら必ず郵送で契約内容が送付される。これにより、第三者が不正に行った場合は判明しますね。

IPAのサイトには、以下の記述がある。
http://www.ipa.go.jp/files/000013804.pdf

1.1.生体認証(バイオメトリクス)とは
生体認証とは、人の生体的な特徴・特性を用いて行う本人認証方式である。
生体的な特徴・特性を総称して生体情報と呼ぶ。生体情報には、指紋や顔など身体的外観に基づく身体的特徴と、音声や署名など行動特性に基づく行動的特徴がある。身体的特徴は、常に本人の肉体に付随している。行動的特徴は、本人の癖であり、本人であれば再現が可能なものである。

過去問(H27FE春午前問41)をみてみよう。

問41 バイオメトリクス認証には,身体的特徴を抽出して認証する方式と行動的特徴を抽出して認証する方式がある。行動的特徴を用いているものはどれか。
ア 血管の分岐点の分岐角度や分岐点間の長さから特徴を抽出して認証する。
イ 署名するときの速度や筆圧から特徴を抽出して認証する。
ウ 瞳孔から外側に向かって発生するカオス状のしわの特徴を抽出して認証する。
エ 隆線によって形作られる紋様からマニューシヤと呼ばれる特徴点を抽出して認証する。

選択肢は以下を示している。
ア:静脈認証
イ:サイン認証
ウ:虹彩認証
エ:指紋認証

行動的特徴を用いているのは、サイン認証である。

まず、過去問(平成25SC春午後Ⅱ問2)を見てみよう。
Jさんが検討したところ,TSA (Time Stamping Authority)が発行するタイムスタンプを付与すれば,タイムスタンプの有効期間中は,電子ファイルが[  e  ]及び[  f  ]を証明可能であることが分かった。

設問5(1)本文中の[  e  ],[  f  ]に入れる証明可能なことを,それぞれ30字以内で述べよ。

正解は、以下である。
e タイムスタンプの時刻に存在していたこと 
f タイムスタンプの時刻以降に改ざんされていないこと

また、違う過去問(H22SC秋AMⅡ問2)では、タイムスタンプの効果として、「電子文書がタイムスタンプの時刻以前に存在したことを示し、作成者が、電子文書の作成を否認することを防止する」と述べられている。
※電子署名だけでは「その時点に存在した」ことが確保されない。

過去問(H17年SU午後Ⅱ問1)詳細な説明があるので、そこからポイントを引用する。理解を深めるためには、この問題に是非チャレンジしてほしい。
①用語の整理
・TSA(Time Stamp Authority):タイムスタンプ機関
・タイムスタンプトークン:電子データのハッシュ値に時刻情報を連結し、電子署名を付与した時刻証明情報
②処理の流れ
 (i)電子データのハッシュをTSAに送付する。
[電子データ]→HASHする→[電子データHASH]・・・これをTSAに送付する。
 (ii)TSAでは、電子データのHASHに時刻情報を付加して電子署名をする。
【[電子データのHASH]+時刻情報】+電子署名
※電子署名の中身は、【[電子データのHASH]+時刻情報】のハッシュをTSAの秘密鍵で暗号化したもの。
できあがったものは、タイムスタンプトークンと呼ばれる。
③タイムスタンプトークンの検証
 タイムスタンプトークンの中身である【[電子データのHASH]+時刻情報】が改ざんされていないかを確認する。そのために、電子署名をTSAの公開鍵で復号する。内容が一致すれば、改ざんされていないことが検証される。

せっかくなので、設問もみてみよう。
設問5
(1)公開かぎ証明書の有効期間が過ぎた後でも,領収書の保存期間内であれば,領収書に付与されたタイムスタンプを確認できる。どのような方法で確認すればよいか。50字以内で述べよ。
(2)設計書に付与されたタイムスタンプを,必要なときにいつでも検証可能にするには,どのような条件で,どのような処置を施すことが必要か。ルート証明書はいつでも入手できるものと仮定して,80字以内で述べよ。
(H17秋SU午後Ⅱ問1)
正解は以下であるが、問題文を読まないと解くのは難しいだろう。
一度チャレンジしていただきたい。
(1)タイムスタンプ機関に,タイムスタンプトークンが存在し,改ざんされていないことを証明してもらう。
(2)認証パスを構成する証明書の有効期限が切れる前に,関連するすべての証明書と失効情報を集め,タイムスタンプトークンとこれらに新たなタイムスタンプを付与する。

問43 生体認証システムを導入するときに考慮すべき点として、最も適切なものはどれか。
ア システムを誤作動させるデータを無害化する機能をもつライブラリを使用する。
イ パターンファイルの頻繁な更新だけでなく,ヒューリスティックなど別の手段を組み合わせる。
ウ 本人のディジタル証明書を信頼できる第三者機関に発行してもらう。
エ 本人を誤って拒否する確率と他人を誤って許可する確率の双方を勘案して装置を調整する。(H21春FE午前)
過去問(H20春FE午前64)に、生体認証(バイオメトリクス認証)の判定しきい値に関する表現がある。FRR(本人拒否率)とFAR(他人受入率)である。
両者の関係は、「FRRを減少させると、FARは増大する」であり、トレードオフである。

本人拒否率(FRR:False Rejection Rate)
 本人拒否率とは、言葉の通り,(正しい)本人を誤って(False)拒否する(Rejection)確率(Rate)です。

他人受入率(FAR:False Acceptance Rate)
 他人受入率とは、他人を誤って(False)受け入れてしまう(Acceptance)確率(Rate)です。

 大阪にあるUSJでは、年間パスを持っているかどうかを顔認証システムで判断します。この、顔認証システムを例にしますと、本人がメガネをかけたり、太ったり、疲れていたりするなどして顔の表情が変わったとします。そんな場合に、本人であっても認証が拒否される確率がFRR(本人拒否率)です。一方、双子の妹など、本人以外が認証に成功するのが、FAR(他人受入率)です。
far
本人拒否率を高くすると、本人なのに入室できないという問題が発生する可能性がある。逆に本人拒否率を低くすると、これは認証の許容範囲を広げることになるので、他人受入率が上がってしまう。そうなるとセキュリティが弱くなる。

過去問にて、生体認証の本人拒否率と他人受入率に関する記述があるので引用する。
入退室管理システムは、勤怠管理システムなどとは異なり、なりすまし防止が重要なことから、安全性要件としては、本人拒否率を低くすることよりも、他人受入率を低くすることを優先する必要があります。
(H20SU午後Ⅰ問3より引用)
11d7b807
本人拒否率と他人受入率ですか…
ということは、本人受入率と他人拒否率もありますね。
なんだかややこしい。



用語として本人受入率と他人拒否率は無い。
覚えにくいのであるが、FRR(False Rejection Rate)もFAR(False Acceptance
Rate)もどちらもFalse(間違い)の字が入っている。つまり、間違える率を気にしているのだ。本人は受け入れて正解、他人は拒否して正解、だから、本人受入率と他人拒否率という言葉は使わない。
こう考えてもらうと、覚えやすいのではないか。

さて、この問題の正解はエである。

一度なりすましをされると、パスワードと違って指紋を変更することが難しいという欠点もある。
それと、指紋登録時に、第三者が不正に登録される可能性がある。指紋を偽造するより、ソーシャルエンジニアリングにて手続きを偽造するほうが簡単だからだ。だから、指紋登録時には、複数人の立会にて慎重にセキュリティチェックをする必要がある。
 また、指紋は認証情報が表面に出る。そうならいような生体認証である静脈認証や虹彩認証の活用も少しずつ増えている。

BitCashを例にすると、いろいろなやりとりがある。
例えば、すぐに申し込みができず、確認メールが送られてきて、そこから申込みがスタートする。
書いたメールアドレスにメールが送られ、そこから購入手続きが始まる。メールはフリーメールのアドレスでも可能なものがほとんど。
恐らくこれは、手順を複雑にすることで、SAPM的な登録を排除するためだと思う。利用者のセキュリティを保護するものではないだろう。
dcf52feb

生年月日を入れさせるのは?
生年月日は恐らく偽装でも可能。だが、あとで生年月日を聞かれることがある。適当に入力していると忘れてしまうので、あるいみ「嘘をつかずにきちんと入れた人しか認証しません」というメッセージになっていると思う。
また、上限額がある。
・同じメールアドレスで、連続での購入も禁止されている。
・購入金額は上限が1万円であり、ネットから購入する場合の不正購入の被害が抑えられるような対策になっていると考えられる。
601a33a7

なりすまし対策は何かしてますか?
利用のカード会社の「本人認証サービス」にご登録する必要あり
これは貴重ななりすまし対策である。
カード情報は、BitCashに行っていると思う。ただ、本人認証はカード会社に直接行っているので、セキュリティは高くなっている。

このページのトップヘ