情報処理安全確保支援士(情報セキュリティスペシャリスト)試験に合格するためのサイトです。
過去問を多数引用しながら、基礎知識をしっかり学んでもらうように作ってあります。
また、情報処理安全確保支援士(情報セキュリティスペシャリスト)を楽しく学べるように工夫したいと思います。
カテゴリ:

5.PKI > 5.1 PKIについて

PKIとは何か。本質的な理解をするのであれば、まずはその言葉を正確に理解することが大事である。当然ながらPKIはフィンランド語ではなく、英語であり、フルスペルはPublic Key Infrastructureである。これを日本語訳すると、公開鍵基盤という意味になる。つまり、PKIとは、公開鍵を利用したセキュリティの枠組み。PKIによって、機密性、完全性、真正性、否認防止性を保つことが可能になる。
dcf52feb

PKIっていうのは概念なのでしょうか?「基盤」という言葉を使っていますが、どこからどこまでがPKIなのかよく分かりません。




公開鍵に関する「概念」と考えてもいい。まずは、過去問(H21NW午後Ⅱ問1)を確認する。 
〔認証基盤の構築〕
EAP-TLS方式の実現にはPKI(公開鍵基盤)と呼ばれる認証基盤の構築が必要であり,認証局の設置,電子証明書の発行と配布,及び社員の異動や有効期限切れに伴う電子証明書のメンテナンスが必要 になる。C君は,電子証明書の初期配布やその後のメンテナンスを容易に行えるように配慮して,認証基盤を構築することにした。
認証サーバとしては,認証局機能とRADIUS機能の両方の機能を備えたアプライアンス型の認証サーバ製品を使い,プライベート認証局 を設置することにした。
 この過去問になるように、PKIは公開鍵の認証基盤であり、PKIを構成する要素は、認証局と証明書の2つだとシンプルに考えればよい。また、証明書を運用するのに必要な技術がディジタル署名である。 

〔本システムの概要〕
(1) 本システムは、ディレクトリサーバ、認証局サーバ、社員ごとのPC及びIC社員証カード(以下、ICカードという)から構成される。
(2) ディレクトリサーバでは、社員の公開鍵証明書や電子メールアドレスなどの属性情報の登録及び検索が行われる。
(3) 本システムでは、プライベート認証局を使用している。
(4) ICカードには、社員個人の秘密鍵、公開鍵証明書及びPIN(Personal Identification Number)が格納されている。社員が本システムを利用する際には、自分のICカードをPCのICカードリーダに挿入し、ICカードのパスワードであるPINを入力する。
(中略)
〔新規発行〕
システム管理者が、社員AにICカードを新規に発行する場合の処理の流れは、次のとおりである。
(1) システム管理者は、認証局サーバで、【 a 】と【 b 】の対を生成する。
(2) 認証局サーバは、【 b 】と社員名や有効期間などを結び付けた情報に【 c 】で署名し、【 d 】を生成する。
(3) 認証局サーバは、【 d 】をディレクトリサーバに登録する。
(4) 認証局サーバは、新規のICカードに、生成した【 a 】と【 d 】、及び事前申請されたPINを記録する。
(5) システム管理者は、社員AにICカードを配付する。
問題1
【 a 】~【 d 】に入る言葉は何か?
この問題は、H21秋AP問9を改題した。PKIの理解を深めるのに手頃だと感じた。
しかし、問題文が少し長い。問題文が長くなると急に苦手になる人が多いようだ。

参考までに、PINは、ICカードが万が一盗まれたり、紛失したときでもPIN(パスワード)を知らないと利用できない。つまり、セキュリティ向上のためのものである。
929c854c 
なるほど。PINについては分かりました。
では、別の質問です。
ICカードに、自分の秘密鍵を入れるんですね?
これは、どういうときに必要なのですか?


たとえば、以下の2つである。
(1) 電子メールを送るときに、自分の秘密鍵にて暗号化する。
(2) 電子メールを送ってもらうときに、自分の公開鍵で暗号化してもらい、復号するときに使う。

では、問題。
(1)と(2)によりセキュリティ上のどんな効果があるか?

解答例
(1) 電子メールを受け取った人が、送信者の公開鍵で復号に成功すれば、送信者の正当性が確認できる。つまり、なりすまし防止。
(2) 電子メールを復号できるのは、秘密鍵を持っている自分だけである。つまり、電子メールの暗号化による盗聴防止。

さて、前置きが長くなったが、この問題の答えは以下である。
a:社員Aの秘密鍵
b:社員Aの公開鍵
c:認証局の秘密鍵
d:社員Aの公開鍵証明書

なぜ、パスワード認証が、公開鍵認証に比べて安全性が低いのでしょうか。
情報セキュリティスペシャリスト試験を目指す女性SE 

パスワードは覚えられますが、公開鍵は覚えられません。
単純なパスワードなら推測されたり漏れたりしますが、公開鍵ならそれは無理です。
だから、当たり前ですよね。
その通り。でも、それだけではありません。
H29秋FE午後問1設問4を見てみましょう。
なお、③”パスワード認証”は、”公開鍵認証”に比べて、安全性が低いと考えられている

設問4 本文中の下線③のように考えられている理由として適切な答えを,解答群の中から選ぺ。

解答群
ア “パスワード認証”では,サーバが攻撃者に乗っ取られていた場合,送信したパスワードを攻撃者に取得されてしまう。
イ “パスワード認証”では,正当なサーバとは異なるサーバに接続させられてしまっても利用者が気づけない。
ウ “パスワード認証”では,パスワードだけを用いるが,“公開鍵認証”では,パスワードの他にディジタル署名も用いる。
エ “パスワード認証”では,利用者のパスワードが平文でネットワーク上を流れるので,盗聴されるとパスワードを取得されてしまう。
“パスワード認証”では,サーバが攻撃者に乗っ取られていた場合,送信したパスワードを攻撃者に取得されるリスクがあります。一方の公開鍵認証の場合、サーバには秘密鍵は存在しません。盗まれても困らない公開鍵しかないので、このようなリスクは存在しないのです。
よって、選択肢アが正解です。

このページのトップヘ