応用情報技術者 2015年 秋期 午後 問01

解答の論理構成

1. a を考察します。問題文には
   “設定されていたパスワードが氏名と誕生日を組み合わせた単純なものであったことが判明した”
   とあります。個人情報を手掛かりに推測しやすい文字列を試す攻撃は、一般に「類推攻撃」と呼ばれます。したがって
   a＝“エ：類推攻撃”
   が適切です。
2. b を考察します。問題文には
   “アカウント名とパスワードの組合せが第三者に知られたことから、bに備えて、P-SNSと同じパスワードを設定している他のサービスについてもパスワードを変更するように”
   とあります。取得済みの“アカウント名‐パスワードの組合せ”をそのまま別サービスへ横展開してログインを試みる行為は「パスワードリスト攻撃」です。したがって
   b＝“ウ：パスワードリスト攻撃”
   が正解となります。

誤りやすいポイント

• 「総当たり攻撃」を選びたくなる
  100回程度の試行回数に着目して “イ：総当たり攻撃” と誤解しやすいですが、総当たりは文字列を機械的に網羅する手法です。今回の鍵は「氏名と誕生日」という個人情報の組合せを使った“推測”である点です。
• 「フィッシング攻撃」を選びたくなる
  他サービスへの被害拡大リスクを読んで “エ：フィッシング攻撃” と勘違いしやすいですが、フィッシングは偽サイトで入力させて資格情報を盗む手口であり、既に漏えい済みの認証情報を再利用する場面とは異なります。
• “リスト攻撃”と“総当たり”の区別
  パスワードリスト攻撃は“既知の組合せを流用”するため試行回数はサービス数に比例します。総当たり攻撃は“未知の文字列を生成”するため桁数や文字種によって天文学的な試行が必要になります。

FAQ

解答の論理構成

1. 【問題文】には「ただし、日記や写真以外の情報については、公開範囲の設定ができず、P-SNS内に無制限に公開される。」とあります。
2. その“公開範囲の設定ができない情報”は、図1のヘッダーなどに表示される「ニックネーム」「アカウント名」と右枠のプロフィール情報です。
3. ①の下線部では「これらの攻撃の足掛かりとなるもの」があると述べられています。攻撃者がパスワードを総当たりするには、まずログイン時に必要な“ユーザ識別子”を知る必要があります。
4. 会員にとって最も直接的なユーザ識別子は【図2】で定義されたアカウント名です。
5. 攻撃者がマイページを閲覧するだけで「アカウント名」を取得できるため、パスワード総当たり（ブルートフォース）や辞書攻撃の開始条件が満たされます。
6. 以上より、下線①で指摘する“攻撃の足掛かり”に該当するのは「アカウント名」です。

誤りやすいポイント

• 氏名や誕生日などプロフィール項目を選んでしまう
  攻撃者はまずログインを試みるためのユーザ名を知る必要があるので、識別子以外の個人情報は直接の足掛かりになりにくいです。
• 「ニックネーム」を答える
  ニックネームはログイン時に入力しないため、攻撃の起点としては不適切です。
• “プロフィール情報”という大括りの語を解答に使う
  設問は「プロフィール情報とニックネームを除く」と明記しているため不正解になります。

FAQ

解答の論理構成

1. 攻撃の特徴を把握
   • 【問題文】には、 “パスワードが氏名と誕生日を組み合わせた単純なものであった”
     “ログインを試みるアクセスが100回…99回はパスワード誤り…最後の1回でログインが成功”
     とあり、公開プロフィールから推測しやすい文字列を短時間で総当たりした典型的な推測型攻撃であることが分かります。
2. 対策1の目的を整理
   • 対策1は“アカウント名とパスワードの設定ポリシを見直して、悪意をもった第三者がP-SNSに不正ログインしにくくする”ものです。
   • したがって「推測を困難にする」ルールが有効、「推測難易度と無関係なルール」は無効または効果が薄いと判定できます。
3. 解答群の検証
   • ア：英和辞典にある英単語の禁止 → 辞書攻撃で真っ先に試される語を排除できるため有効。
   • イ：登録情報を含めることの禁止 → 氏名・誕生日を組み込むことを防げるため有効。
   • ウ：記号文字の必須化 → 文字種を増やし総当たりの探索空間を拡大するため有効。
   • エ：半年以上ログイン実績がないアカウントの利用停止 → 利用頻度が低い利用者を除外する措置であり、“推測しにくいパスワードにさせる”という目的には直接寄与しません。
4. よって、対策1として“有効ではないもの”は「エ」となります。

誤りやすいポイント

• 「アカウント停止＝セキュリティ強化」と早合点しやすい
  実際には停止は“攻撃対象を減らす”だけで“推測困難化”には無関係です。
• 辞書攻撃対策＝英単語禁止だけだと思い込む
  個人情報を含める禁止や文字種増加も同じくらい重要です。
• 他対策と混同
  回数制限（対策2）やCookie併用（対策3）など別機能とごちゃ混ぜにしないよう注意が必要です。

FAQ

解答の論理構成

1. 問題文は「アカウント名とパスワードによる認証がユーザを認証する」と明示しています。
   引用：【問題文】「アカウント名とパスワードによる認証に加え、Cookieによる認証を追加する。」
2. 同じ箇所で Cookie 認証の目的が示唆されています。
   引用：【問題文】「ログイン機能では、送信されたログイン用Cookieがその会員に発行されたログイン用Cookieと異なる場合にはアクセスを拒否する。」
3. ここで比較されている対象は“送信してきた側”が保有する Cookie と“あらかじめ発行しておいた Cookie”の一致です。会員本人かどうかではなく、発行時に利用していたクライアント（＝Webブラウザ）であるかを確認しています。
4. 以上より、Cookie 認証は「その Cookie を保持する Web ブラウザ＝利用端末」を識別・認証する仕組みであると結論付けられます。
5. 指定文字数内に収めて最終解答は「Webブラウザ」となります。

誤りやすいポイント

• Cookie を「ユーザ」や「アカウント」を再認証する手段と誤解しやすい。Cookie 自体は利用端末側に保存されるため、本質的にはクライアント識別である。
• 「端末」や「PC」と答えると、モバイルブラウザなどを包含できず減点リスクがある。設問は Web ブラウザ単位での認証を意図している。
• Cookie 認証を多要素認証（Something you have）と混同し、“トークン”など抽象語で答えると意図がずれる。

FAQ

解答の論理構成

1. 【問題文】では、対策3の運用として
   “会員がP-SNSにログインするときには、会員が入力するアカウント名とパスワードとともにログイン用Cookieがログイン機能へ送信される。ログイン機能では、送信されたログイン用Cookieがその会員に発行されたログイン用Cookieと異なる場合にはアクセスを拒否する。”
   と明記されています。
2. さらに、ログイン用Cookieは
   “Cookie発行機能のURLは、登録した会員一人一人にメールを送信する都度、異なるものが発行され、メールの送から1時間だけ有効”
   とされ、本人しか受信できないメール経由でしか取得できません。
3. したがって、悪意ある第三者はパスワードを推測できてもログイン用Cookieを入手できず、ログイン機能で照合に失敗します。
4. 以上から、解答は「ログイン用Cookieの値を知らないから」となります。

誤りやすいポイント

• パスワードだけを保護要素と考え、「試行回数制限があるから」と答えてしまう。対策2に該当する説明であり出題意図とずれます。
• 「メールに書かれたURLを知らないから」とする誤答。URLはCookie取得の手段に過ぎず、真正面の認証要素はログイン用Cookieです。
• 「IPアドレスが異なるから」など環境依存の要素を理由に挙げる。問題文にはIPアドレス照合の仕様はありません。

FAQ

解答の論理構成

• 【問題文】には、 “ユーザがWebブラウザを用いて会員登録機能から会員登録を行うと、Cookie発行機能のURLが記載された電子メール（以下、メールという）がCookie発行メール送信機能から送される。ユーザは、メールソフトを用いてメールを受し、メール内に記載されたURLからCookie発行機能にWebブラウザを用いてアクセスする。”
  と記載されています。
• この一連の流れでは、会員登録時に入力した宛先に実際にメールが届き、受信者がそこに含まれる“Cookie発行機能のURL”をクリックして初めて処理が進みます。
• さらに“Cookie発行機能のURLは…メールの送から1時間だけ有効”とあり、有効期限内にアクセスできなければ手続は完了しません。
• したがって、届いたメールを受信し、リンクをクリックできることにより「入力した宛先が本当に利用可能なメールアカウントである」ことが確認できます。
• 以上から、手順によって有効性（到達性）を確認できる情報は「電子メールアドレス」です。

誤りやすいポイント

• Cookieを受け取るために再度入力する“アカウント名”や“パスワード”が確認対象だと思い込む。これらは認証情報であり、有効性確認（リーチャビリティ確認）の対象ではありません。
• 「URLが届く＝本人確認＝本人情報すべてが検証される」と誤解し、氏名やプロフィールまで確認できたと考えてしまう。
• 有効期限が“1時間”であることに目を奪われ、目的が「電子メールアドレスの到達確認」である点を見落とす。

FAQ