情報処理安全確保支援士(情報セキュリティスペシャリスト) - SE娘の剣 -

情報処理安全確保支援士(情報セキュリティスペシャリスト)試験に合格するためのサイトです。
過去問を多数引用しながら、基礎知識をしっかり学んでもらうように作ってあります。
また、情報処理安全確保支援士(情報セキュリティスペシャリスト)を楽しく学べるように工夫したいと思います。

4.認証

生体認証における「なりすまし対策」として、過去問に例が載っているので紹介します。

1.なりすまし攻撃への対策
 ・指紋の登録に際し、登録者本人であることを社員証などで確認する。
 ・センサの生態検知機能によって、人工模造物による登録及び認証を防止する。
 ・登録された指紋データから指紋を推測できないデータ登録方式を採用し、登録者の指紋データを保護する。
 ・本人の登録操作に立会者を置き、本人以外の指紋登録を防止する。
図1 なりすましや誤作動誘発の防止対策 (H20SU午後1問3より引用)

情報セキュリティスペシャリスト試験を目指す女性SE

これがずっと疑問だったんですよ。




セキュリティコードが違うと、購入ができない。この点もセキュリティの価値がある。ただ、カード番号と一緒で、漏れたら一緒。
この点は、PCI-DSSにてルールが定められています。カード番号と、セキュリティコードは管理レベルが違います。そして、セキュリティコードは基本的に、保存してはいけないのです。
ただ、実際にはそれが守られてない場合があるので、注意が必要です。
たとえば、チケットサイトがサイバー攻撃にあった事件において、セキュリティーコードも流出しました。日経新聞の記事では、「本来ならばカード番号などの情報はサーバーに残らない仕組みとなっていたはずが、開発会社の判断でカード情報をサーバー内に保持しており、カードの不正使用につながった。」と述べられています。
http://www.nikkei.com/article/DGXLASDG25H6K_V20C17A4CR0000/

チャレンジ・レスポンス認証は、「利用者が入力したパスワードと、サーバから送られたランダムなデータとをクライアント側で演算し、その結果を認証用データに用いる(H21SC秋午前Ⅱ問2)」方式です。
ネットワーク上を流れるレスポンスが毎回変わるので、リプレイアタックにも強い仕組みです。
パスワードが暗号化されるとともに、ワンタイムパスワードの役割も有する。また、ユーザ名とパスワード以外に必要な情報もない。つまり、事前に秘密鍵を共有したり証明書を準備する必要ない。よく考えられた認証方式だと思います。
情報セキュリティスペシャリスト試験を目指す女性SE 

なぜチャレンジレスポンス認証が必要なのか、
あまりよく分かりません。
ネットワークを介してパスワードを送信する場合、第三者による盗聴の恐れがあります。最近のWebシステムのように、SSL/TLSで暗号化されていれば安全ですが、そうでない場合もあります。そこで、無線LANのWEP方式やSMTP-AUTH、APOP、IMAPなどでは、チャレンジ・レスポンス認証という技術を利用しています。

利用者は毎回異なるパスワード(下図でいう”レスポンス”)をサーバに送ることになります。仮に第三者にこのパスワード(レスポンス)を盗聴されたとしても、パスワード(レスポンス)は1回限りのものですから、不正利用される心配がありません。

チャレンジ・レスポンス認証の、具体的な流れは以下です。
①利用者は、ユーザIDを送信する
②サーバは、チャレンジ(乱数)を生成する
③作成したチャレンジを利用者に送信する
④利用者は、チャレンジと保有するパスワードからレスポンスを作成する(※ハッシュ演算により暗号化している)
⑤サーバに対し、レスポンスを送信する
⑥サーバは、受け取ったレスポンスと自ら作成したレスポンスを比較する。両者が一致すれば、正規の利用者とみなされ、認証が成功する。
チャレンジレスポンス認証_情報セキュリティスペシャリスト試験

1.シングルサインオンとは
 シングルサインオンとは、一つの認証情報(ID/パスワードなど)で、複数のシステムにログインできるようにすることです。
 過去問(H20SW午後1)に、シングルサインオンの目的に関する記述があるので、紹介します。
業務活動の統制の観点から,各社内システムのセキュリティ確保の問題が重要視されており,全社的に統一された認証情報の管理,統一されたアクセス制御の実施が望まれている。また,利用者である社員からも,個々のシステムを利用する際に,その都度IDとパスワードの入力を求められることの不便さを訴えられている。
情報システム部門では,こうした要求に応じるためにシングルサインオンの導入によって,利用者の利便性向上と統一的なセキュリティ管理を図ることにした。
ここにありますように、シングルサインオンの目的は、次の2つと考えられます。
①統一的なセキュリティ管理
②利用者の利便性の向上

2.シングルサインオンのデメリット
こちらも、過去問(H20SUPM2問1)から引用します。
シングルサインオンの機能を導入することにした。この機能を導入することで、利用者の利便性は向上するが、万が一、利用者IDとパスワードが流出したり破られたりしてしまうと、シングルサインオンできるすべての業務アプリを簡単に不正利用されてしまうというリスクが伴う。
これは、シングルサインオンに限ったことではなく、IDパスワードを使いまわしている場合にも、同じことが言えます。

3.シングルサインオンの2つの方式
シングルサインオンには、2つの方式があります。
①クッキーを使ったシングルサインオン
 クッキーを使ったシングルサインオンは、「サーバごとの認証情報を含んだクッキーをサーバで作成し、各クライアント上で保存・管理する。(H18NW問47を一部修正)」方式である。

②リバースプロキシを使ったシングルサインオン
 リバースプロキシを使ったシングルサインオンは、シングルサインオン用に別途リバースプロキシサーバを立て、このサーバが代理で認証を行う方式である。
過去問(H22SC秋AM2問1)では、「リバースプロキシを使ったシングルサインオンの場合、利用者認証においてパスワードの代わりにディジタル証明書を用いることができる」と述べられている。

メッセージ認証に関しては、以下で述べた。
http://sc.seeeko.com/archives/4564657.html
復習ではあるが、認証には、①本人(利用者)認証、②メッセージ認証、③時刻認証の3つがある。
メッセージ認証は、メッセージ(文章)を認証するという意味。

メッセージ認証の目的
まず、メッセージ認証の目的から整理しよう。
問41 メッセージ認証符号におけるメッセージダイジェストの利用目的はどれか。
ア メッセージが改ざんされていないことを確認する。
イ メッセージの暗号化方式を確認する。
ウ メッセージの概要を確認する。
エ メッセージの秘匿性を確保する。 (H23秋FE午前)
正解はアだ。
メッセージ認証には、MAC(message authentication code)を使う。これは、ディジタル署名と同じように、メッセージにハッシュをつけて送ることで、改ざんがされていないかがわかる。

メッセージ認証の仕組み
メッセージ認証に関する違う過去問で確認する。
問73 公開鍵基盤とハッシュ関数を利用したメッセージ認証の手法はどれか。
ア 受信者は,送信者の公開鍵とハッシュ関数を用いてハッシュ値を復号し,メッセージを得る。
イ 受信者は,ハッシュ関数を用いてメッセージからハッシュ値を生成し,送信者の公開鍵で復号したハッシュ値と比較する。
ウ 送信者は,自分の公開鍵とハッシュ関数を用いてメッセージからハッシュ値を生成し,メッセージとともに送信する。
エ 送信者は,ハッシュ関数を用いて送信者の秘密鍵のハッシュ値を生成し,メッセージとともに送信する。
(H18秋SW午前)
正解はイ

H26年SC春午後1問3には、オンラインバンキングの認証について整理されている。
ちなみにマルウェアJは、「Webインジェクト(Webインジェクション)」と言われる攻撃で、マルウェアKはMITB攻撃である。

項番

セキュリティ対策


 

マルウェアJの感染に起因する不正送金への対策としての評価

マルウェアKの感染に起因する不正送金への対策としての評価

1

利用者ID ・ パスワード認証

対策にならない

対策にならない

2

クライアント証明書による認証

対策になる

対策にならない

3

乱数表による認証

対策にならない

対策にならない

4

ワンタイムパスワード認証

対策になる

対策にならない

5

リスクベース認証

対策になる

対策にならない

6

送金内容認証

対策になる

対策になる

※ただし、項番5はマルウェアJにて、その内容を入力させられる可能性があり、対策になるというのは限定的であると感じる。
それぞれの詳しい内容は、過去問を見てほしい。参考までに、リスクベース認証については以下を参照してください。
http://sc.seeeko.com/archives/5377439.html

オンラインバンキングの被害で、1千万円以上が盗まれたケースもあるようです。丁寧な対策により、自分の身を守っていくしかないようですね・・・
http://www.nhk.or.jp/gendai/articles/3626/1.html

「認証情報に加え、属性情報とアクセス制御情報を異なるドメインに伝達するためのWebサービスプロトコル(H20SW午前 問79)」は何か?

 例えば、通販の申し込みサイトと決済サイトが別会社で運営されている場合、ドメインが異なるので、クッキーによるシングルサインオンはできない。そこで、利便性を目的としたSSOの技術の一つに、SAML(Security Assertion Markup Language)がある。
 各WebサイトがSAMLプロトコルに対応していれば、サイト間で認証情報を引き継ぐことができる。つまり、異なるドメイン(= 異なるWebサイト)でのシングルサインオンが可能になる。正解はSAML。
 SAMLについて、別の過去問では、「標準化団体OASISが, Webサイト間で認証,属性及び認可の情報を安全に交換するために策定したフレームワーク(H24SC秋午前2問11)」、「SAMLは、認証、許可などの情報を安全に交換するためのフレームワークである(H29SC春午後1問2)」と述べている。

入退室管理において、入室(退室)記録が無いと、退室できない仕組みです。
1人の認証で,複数人が出入りするという共連れ行為を防止する効果があります。
過去問(H16秋SU午後1)では、アンチパスバック機能のことを、「2回連続して入室できず,また2回連続して退室できない機能」と説明されています。つまり、共連れしてICカードをかざさずに入室してしまうと、2回連続で退室することになるので、退室できないのです。

この仕組みを実現するにはドアの出入り口の両方で、ICカードをかざすなどの入退室の仕組みが必要です。
H29春SG午後問3にて、アンチパスバックに関する問題がありました。

過去問に詳しい解説がある。以下の記事と合わせて確認してほしい。
http://sc.seeeko.com/archives/4569249.html
F氏:私は,SAML (Security Assertion Markup Language)2.0という標準技術を使ったID連携のシステム構築の経験があります。SAML 2.0では,異なる製品間の相互運用性について,技術標準を策定する団体が主導して試験を行い,検証結果を公表しています。
E君:相互運用性が高い技術であれば,X社の技術標準として採用しやすいですね。
F氏:そうですね。仕組みについてご説明します。図5が,SAML 2.0を使ってSSOを実現する場合のメッセージフローです。この図にあるSP (サーピスプロバイダ)は,認証された利用者に対して業務アプリケーションなどのサービスを提供する側の機能で,IDP(IDプロバイダ)は,利用者認証の結果をSPに提供する機能です。利用者がSP上のWebアプリケーションを利用する場合に,SPが利用者に対してWebアプリケーションのサービスを提供してよいかを判定する必要がありますが,この判定のためにSPは[ a ]をプラウザ経由でIDPから受け取ります。
sso















図5 SAML 2.0によるSSOのメッセージフロー

E君:なるほど,分かりました。
F氏:Y社にもSAML 2.0のSPを導入したとします。この場合,X社の利用者が,X社情報システム群の認証サーバ,つまり,IDPで一度認証を受ければ,[ b ]するまでは,X社とY社のWebアプリケーションは,利用者が個別にサインオンしなくても利用可能となります。

設問1 ID連携技術について,本文中及び図5中の[ a ],[ b ]に入れる適切な字句を,それぞれ10字以内で答えよ。また,図5中の[ c ]には,ブラウザにおける動作を示す適切な字句を8字以内で答えよ。

試験センターの解答例は以下だ。
設問1  
a 認証アサーション(または認証トークン)
b サインオフ
c リダイレクト

よく使われるパスワードが以下に掲載されている。
一度見てみるといいだろう。
案外、自分で使っているパスワードが出てくるもの。
http://www.whatsmypass.com/the-top-500-worst-passwords-of-all-time

また、adobeの情報漏えい事件で発覚した、利用者のパスワードの実態が以下などの記事に書かれてある。
http://bylines.news.yahoo.co.jp/fuwaraizo/20131107-00029574/
http://www.itmedia.co.jp/news/articles/1311/06/news040.html
123456というパスワードを使っている人が、190万人(全体の1.46%)もいたということ。それ以外にもpassword
や11111など、単純なパスワードが目白押しである。

ハッキングツールには、これらのパスワードは自動で実施する仕組みになっていると思われるから、危険である。



スポンサードリンク

↑このページのトップヘ