情報処理安全確保支援士(情報セキュリティスペシャリスト) - SE娘の剣 -

情報処理安全確保支援士(情報セキュリティスペシャリスト)試験に合格するためのサイトです。
過去問を多数引用しながら、基礎知識をしっかり学んでもらうように作ってあります。
また、情報処理安全確保支援士(情報セキュリティスペシャリスト)を楽しく学べるように工夫したいと思います。

2.7 脅威その他

Webインジェクトと同様に、オンラインバンキングを狙った攻撃の一つがMITB(Man-in-the-Browser)攻撃 である。過去問(H26SC春午後Ⅰ問3)に紹介されているので、引用する。
海外では,利用者が入力した送金内容をマルウェアKが書き換えて,攻撃者の口座に送金するという被害が発生したそうです。
mitb

では、対策はどうすればいいのでしょうか。過去問(H29春SC午前Ⅱ問11)を見てみましょう。
問11 インターネットバンキングの利用時に被害をもたらすMITB (Man-in-the-Browser)攻撃に有効な対策はどれか。
ア インターネットバンキングでの送金時にWebブラウザで利用者が入力した情報と,金融機関が受信した情報とに差異がないことを検証できるよう,トランザクション署名を利用する。
イ インターネットバンキングでの送金時に接続するWebサイトの正当性を確認できるよう, EV SSL サーバ証明書を採用する。
ウ インターネットバンキングでのログイン認証において,一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを用意する。
エ インターネットバンキング利用時の通信をSSLではなくTLSを利用して暗号化する。
情報セキュリティスペシャリスト試験を目指す女性SE 

セキュリティ対策としては、どれも重要だと思います。




はい、その通りです。しかし、MITB攻撃の対策になるのは、アだけです。
先ほどのMITB攻撃の流れを確認しましょう。
攻撃は、ログイン後に仕掛けられるのです。ですから、いくらログイン時の対策をしても意味がありません。
情報セキュリティスペシャリスト試験を目指す女性SE

アの内容も、よくあるセキュリティ対策だと思います。
なぜMITB攻撃が防げるのですか?



ポイントは、ログインの認証だけではなく、トランザクション(取引)も認証することです。
ログインID/パスワードだけを認証するのではなく、どの口座にいくら振り込んだか、という情報も、サーバ側でチェックします。ですから、利用者が意図しない取引が行えない様になるのです。

さて、埼玉りそな銀行の場合は、カメラ機能でコードを読み取る方式で、以下の流れでトランザクション認証を行います。
http://www.resonabank.co.jp/hojin/b_direct/security/transaction.html

オンラインバンキングを狙った攻撃の一つがこれである。
過去問(H26SC春午後Ⅰ問3)に紹介されているので、引用する。
G部長:この攻撃は,利用者ID,パスワード,乱数表の情報(以下,併せて認証情報という)を盗もうとするものだが,利用者を①偽Webサイトに誘導するものではないね。マルウェアJに感染したPCで,正規のWebサイトにアクセスすると,マルウェアJが,認証情報を盗むために邪魔なメッセージを削除し,偽の乱数表情報入力画面を表示するものだね。
W主任:そのとおりです。利用者は,マルウェアJが不正な画面を表示していることに気付かず,認証情報を入力してしまうようです。
webinjection

本物そっくりの偽サイトによって利用者をだまし,利用者の重要な情報を盗み出す手口は,フィッシング(Phishing)である。過去問(H22秋IP問75)では、フィッシングに関して「銀行やクレジットカード会社などを装った偽のWebページを開設し,金融機関や公的機関などを装った偽の電子メールなどで,利用者を巧みに誘導して,暗証番号やクレジットカード番号などの個人情報を盗み取る行為」と述べられています。

この言葉の語源はいくつかあるようだが「魚釣り(Fishing)」で覚えておくとよいだろう。釣り竿にエサをつけ,誘導された魚がひっかかるのを待つ様子が,Fishing(魚釣り)を連想したのであろう。
fishing
これに関して、H26春SC午後Ⅰ問3設問1にて問われた。
具体的には、「下線①のようなWebサイトの一般的な総称を、10字以内で答えよ」
※下線①は、問題文の「偽Webサイト」である。

この場合は、サイトを問われているので、フィッシングサイトが答えである。

過去問を解いてみましょう。
(H24年IP)
問66 a~cのうち,フィッシングへの対策として,適切なものだけを全て挙げたものはどれか。
a Webサイトなどで,個人情報を入力する場合は, SSL接続であること,及びサーバ証明書が正当であることを確認する。
b キャッシュカード番号や暗証番号などの送信を促す電子メールが届いた場合は,それが取引銀行など信頼できる相手からのものであっても,念のため,複数の手段を用いて真偽を確認する。
c 電子商取引サイトのログインパスワードには十分な長さと複雑性をもたせる。
ア a, b
イ a, b, c
ウ a, c
エ b, c
aは正解です。フィッシングサイトという偽サイトは、費用がかかる点からSSL通信をしないことがあります。また、サーバ証明書が正当であることを確認すれば、正規のサーバかどうかを判断できます。
bも正解です。たとえば銀行からのメールであれば、銀行にそういうメールを送ったかを電話で確認するといいでしょう。
cは不正解です。パスワードの複雑さは関係ありません。パスワードを入力する前に、偽サイトに何かの情報を入力してしまうことが問題です。たとえば、複雑にパスワードを設定していたとしても、それを偽サイトを信用して入力してしまっては、そのパスワードが偽サイトに漏えいしてしまいます。
正解は、アです。


【参考】
フィッシングサイトですが、本物のドメインに似たドメインを取得して、クリックさせているようです。
たとえば、佐川急便さんであれば、以下が正式なドメインです。
sagawa-exp.co.jp

フィッシングサイトとしては、以下のドメインが取得されているようです。
sagawa-expx.com
sagaawa-exp.com
sagawaa-exp.com
sagawa-expreess.com

細かくチェックはしないので、間違えてクリックしてしまいますよね。

参考URL
https://did2memo.net/2018/01/23/sms-spam-sagawa/

過去問(H24SC秋午前2問3)では、SEO (Search Engine optimization)ポイズニングの説明として、「Web検索サイトの順位付けアルゴリズムを悪用して,キーワードで検索した結果の上位に,悪意のあるサイトを意図的に表示させる」とある。
ただ、最近は検索エンジンが非常に優秀で、このような手口では上位に表示されないようになっている。

過去問(H24SC秋午前2問16)では、「SSLに対するバージョンロールバック攻撃の説明」として、「SSLの実装の脆弱性を用いて,通信経路に介在する攻撃者が弱い暗号化通信方式を強制することによって,暗号化通信の内容を解読して情報を得る」と述べられている。

SSLにはバージョンが1.0~3.0があるが、古いバージョンで接続させて、その脆弱性を突く攻撃である。

リプレイ攻撃とはreplayという日常的な言葉からなんとなくイメージができたかもしれません。
同じことをもう一度繰り返す攻撃です。何を繰り返すかというと、例えば、盗聴したパスワードを使って、そのシステムにもう一度(不正に)ログインします。この攻撃は、ワンタイムパスワードを利用したり、チャレンジレスポンス認証をするなど、1回限りの情報を使うことで防ぐことができます。

リプレイ攻撃に関して、まずは過去問(H24春AP午前)をみてみましょう。
問39 手順に示すクライアントとサーバの処理と通信で可能になることはどれか。
〔手順〕
(1)サーバはクライアントから要求があるたびに異なる予測困難な値(チャレンジ)を生成して保持するとともに,クライアントへ送る。
(2)クライアントは利用者が入力したパスワードのメッセージダイジェストを計算し,(1)でサーバから送られだチャレンジ"と合わせたものから,さらに,メッセージダイジェスト(レスポンス)を計算する。この“レスポンスと利用者が入力した利用者IDをサーバに送る。
(3)サーバは,クライアントから受け取った利用者IDで利用者情報を検索して,取り出したパスワードのメッセージダイジェストと(1)で保持していだチャレンジ"を合わせたものから,メッセージダイジェストを計算する(レスポンス照合データ)。この“レスポンス照合データ'とクライアントから受け取っだレスポンスとを比較する。

ア 伝送上で発生したパスワードのビット誤りのサーバでの訂正
イ 伝送上で発生した利用者IDのビット誤りのサーバでの訂正
ウ ネットワーク上でのパスワードの,漏えい防止とリプレイ攻撃の防御
エ ネットワーク上での利用者IDの,漏えい防止とリプレイ攻撃の防御


正解はウです。

違う過去問(H19春SV午後1問3)では、以下のような問いがありました。ご参考まで
------------------------
【問題文】①利用者認証には、ワンタイムパスワード方式を利用しているので、一定期間固定で利用されるパスワードよりも安全です。
【設問】
設問1(2)本文中の下線①で安全であると述べている理由を、想定する攻撃を含めて25字以内で述べよ。
【解答】
盗聴によるリプレイ攻撃を防ぐことができるから

------------------------

攻撃の概要
セッションフィクセーションとは,「セッションIDの固定化」とも呼ばれる攻撃手法である。
情報セキュリティスペシャリスト試験を目指す女性SE
フィクセーション(fixation)のfixは「固定する」という意味ですよね
だから、ログイン前後(http→https)にて、同じセッションID使っている(=セッションIDが固定化している)ときに受ける攻撃ですよね。
間違ってもいいないが、正確でもない。たしかに、セッションIDが同じだと、この攻撃を受けやすい。
ただ、セッションフィクセーションの攻撃は、攻撃者が事前にセッションIDを取得し,利用者に使用させることで,攻撃者が利用者のログイン権限になりすます攻撃を指す。過去問(H29春SC午前Ⅱ問5)では、「セッションIDの固定化(Session Fixation)攻撃の手口」に関して、「悪意のある者が正規のWebサイトから取得したセッションIDを、利用者のWebブラウザに送り込み、利用者がそのセッションIDでログインして、セッションがログイン状態に変わった後、利用者になりすます」とあります。

過去問(H27年SC春午後1問1)には以下の記述がある。
T君:はい。図6の一連のHTTPヘッダのうち,例えば,行番号[ d ]と行番号[ e ]を見比べると,サーバ側のセッション管理に問題があり,セッションフィクセーションの脆弱性が存在する可能性があります。攻撃者がCookie Monster Bugを突く攻撃や,前述したHTTPヘッダインジェクション攻撃を組み合わせることによって,セッションフィクセーションを成功させる可能性があります。図9に攻撃手順の一例を示します。

1.攻撃者Jが,試験用サイトの画面Aにアクセスし,セッションIDを取得する。このときの,セッションIDを“01234”とする。
2.攻撃者Jが,攻撃対象の利用者KにHTMLメールを送信する。このHTMLメールにはURLリンクがあり,攻撃用のクエリ文字列を含む画面CのURLが記載されている。
3.利用者Kが,試験用サイトの画面Aにアクセスし,セッションIDを取得する。このときの,セッションIDを“56789”とする。その後,HTMLメールのURLリンクをクリックする。その際に送信されるHTTPリクエストには,攻撃者Jが用意した攻撃用クエリ文字列が含まれており,検索文字列の値は次のとおりである。
%0d%0aSet%2dCookie%3a%20SESSIONID%3d[ f ]%3b%20Expires%3d(省略)domain%3dexample%2eco%2ejp%3b(省略)
4.利用者Kがログインする。
5.攻撃者Jは,利用者Kになりすまし,本来はアクセス権限がない画面にアクセスできるようになる。
                                    図9 攻撃手順の一例
dとeは、ログイン前とログイン後で,SESSIONIDの値が変わっていない点が設問にて問われている。
また、fには「01234」が入る。

簡略化して図にすると、こんな感じである。
セッションフィクセーション_情報セキュリティスペシャリスト試験

対策
この問題には、セッションフィクセーションの脆弱性対策として、「ログイン後の,画面Eから画面Cに遷移する際の,サーバ側の処理において[ g ]といった対策を行うことによって,この脆弱性を確実に防ぐ」とある。

この空欄gが、セッションフィクセーションの攻撃を防ぐシンプルな対策である。
まず、なぜセッションフィクセーションの脆弱性につながったかのか。それは、ログイン前とログイン後で同じセッションIDを利用しているからである。仮に攻撃者がセッションIDを送り込んだとしても、画面Eから画面Cに遷移する際に、サーバが新しいセッションIDを割り当てればよい。そうすれば、攻撃者がセッションIDを知ることができないし、不正なアクセスをすることもできない。 

解答:新しいセッションIDによるセッションを開始する

情報セキュリティスペシャリスト試験を目指す女性SE 
【ポイント】
セッションハイジャックは、セッションIDを盗む。
セッションフィクセーションは、自分が用意したセッションIDを使わせる。

H29秋SG午後問2で、「ウェブ健康診断仕様」における「クローラへの耐性」が問われました。(といっても、選択式)
https://www.ipa.go.jp/files/000017319.pdf

クローラとは、検索エンジンがサイトの情報を知るためのプログラムです。クローラの通信により、サーバのレスポンスが悪化する場合があります。つまり、可用性が失われるのです。これに耐えられるかが「クローラへの耐性」です。

IPAの資料に詳しい解説が記載されています。
https://www.ipa.go.jp/security/announce/20141017-ssl.html

POODLE(Padding Oracle On Downgraded Legacy Encryption)攻撃とは、そのフルスペルにあるPadding(詰め物と考えてください)に関する脆弱性を突きます。SSL3.0を利用した通信(その多くはhttps)をすると、通信を盗聴されるなどの危険があります。

対策は、SSL3.0を無効化し、TLSによる通信を行うことです。

過去問を見ましょう。
問3 POODLE (CVE-2014-3566)攻撃の説明はどれか。
ア SSL 3.0のサーバプログラムの脆弱性を突く攻撃であり,サーバのメモリに不正アクセスして秘密鍵を窃取できる。
イ SSL 3.0を使用した通信において,ブロック暗号のCBCモード利用時の脆弱性を突く攻撃であり,パティングを悪用して暗号化通信の内容を解読できる。
ウ TLS 1.2のプロトコル仕様の脆弱性を突く攻撃であり,  TLSの旧バージョンにダウングレードして暗号化通イ言の内容を解読できる。
エ TLS 1.2を使用した通信において,  Diffie-Hellman鍵交換アルゴリズムの脆弱性を突く攻撃であり,交換されたセッション鍵を窃取して暗号化通信の内容を解読できる。

正解はイです。


スポンサードリンク

↑このページのトップヘ