応用情報技術者 2024年 秋期 午後 問01

解答の論理構成

• 本文には「①パスワードのハッシュ値は、会員が設定したパスワードをハッシュ関数によってハッシュ化したもの」とあります。
• 暗号学的ハッシュ関数には「入力を取得しても元の入力を容易に復元できない」という特性があり、これを一般に「一方向性」または「不可逆性」と呼びます。
• したがって、万一「会員テーブル」が流出しても、そこに保存されているのは「パスワードのハッシュ値」であり、攻撃者がその値だけから平文パスワードを求めることは著しく困難です。
• 以上より、「ハッシュ値は元のパスワードを容易に逆算できない」という特性が、情報漏えい時の被害低減につながります。

誤りやすいポイント

• 「暗号化」と「ハッシュ化」を混同する
  ハッシュ化は復号キーを持たず、元に戻せない点が暗号化と異なります。
• 「ハッシュ値は絶対に復元不可能」と誤解する
  辞書攻撃やレインボーテーブル攻撃で推測される場合があるため、ソルト・ストレッチングが必要です。
• 「同じ入力なら毎回異なるハッシュ値が出る」と思い込む
  ソルトを付与しない限り、同じ入力からは常に同じハッシュ値が得られます。

FAQ

解答の論理構成

1. 本文では、ペネトレーションテストの手順として「②SQLインジェクション攻撃によって会員テーブルのデータを取得する」と明記しています。
2. ここで取得されたのは「会員番号、メールアドレス、パスワードのハッシュ値、姓、名、住所、電話番号」といった登録情報であり、外部に公開されるべきでない個人データです。
3. 情報セキュリティの3要素（ＣＩＡ）に照らすと、 • 機密性：許可されていない主体から情報を隠蔽する性質
   • 完全性：改ざんから守る性質
   • 可用性：必要なときにアクセスできる性質
4. 今回の被害は「漏えい＝本来見せてはいけない情報が外部に閲覧された」ことに該当し、直接的に脅かされたのは機密性です。可用性の低下や完全性の破壊は示されていません。
5. 以上より、設問が求める3字の答えは「機密性」となります。

誤りやすいポイント

• 「会員テーブル」のデータが改ざんされたわけではないため、完全性と取り違えやすいです。
• 「ログイン不能になったら可用性」などの一般論を当てはめ、本問では該当しない要素を選択してしまうケース。
• 「ハッシュ値が暴かれた＝暗号が破られた」と考え、機密性より暗号の話に意識が向きすぎる誤答。

FAQ

解答の論理構成

1. aに対応する記述
   • 問題文には「稼働中のシステムのログインフォームに対してパスワードを総当たりで試行する a 攻撃」とあります。
   • パスワードを総当たりで試行する手法は一般にブルートフォース攻撃と呼ばれます。
   • 解答群でブルートフォース攻撃に該当するのは「オ：ブルートフォース」です。
     ➜ したがって a ＝ オ。
2. bに対応する記述
   • SQLインジェクション対策として「外部からの入力値が埋め込まれる箇所を専用の記号に置き換えたSQL文の雛形をあらかじめ作成しておき、専用の記号で置き換えた箇所にDB管理システム側で外部からの入力値を割り当てる」と問題文にあります。
   • 上記特徴はプレースホルダ方式（プリペアドステートメント）そのものです。
   • 解答群でプレースホルダに該当するのは「カ：プレースホルダ」です。
     ➜ したがって b ＝ カ。

誤りやすいポイント

• 類義語の混同
  エスケープ（ア）やサニタイズ（ウ）は入力値の無害化という点で対策手法に含まれますが、問題文が示す「専用の記号に置き換えた雛形」＝プレースホルダである点を見落とすと誤選択しやすいです。
• ブルートフォースと辞書攻撃の取り違え
  総当たり（全探索）か、既成リストを使うかで定義が異なります。本問は「総当たりで試行」と明示しているためブルートフォースが正解になります。
• 多層防御の意味
  「③仮に対策の一つが破られても他の対策で攻撃を防ぐという考え方」とあるように、WAFだけでなくアプリ側でも防御することが重要です。WAFが検知できていた事実に惑わされて、アプリ側のプレースホルダ実装を不要と判断しないよう注意が必要です。

FAQ

解答の論理構成

1. 攻撃者は「②SQLインジェクション攻撃によって会員テーブルのデータを取得する」とあります。取得したデータの一部が表1に示されています。
2. 表1には、会員番号「21717202」のパスワードのハッシュ値が
   「5e884898da28047151d0e56f8dc6292773603d0d6aabbbdd62a11ef721d1542d8」
   であることが示されています。
3. ハッシュ関数は「入力が同じなら出力（ハッシュ値）も必ず同じ」という性質を持ちます。したがって、同一のハッシュ値を持つレコードは同じパスワードを使用していると判断できます。
4. 表1を見ると、会員番号「30781985」もまったく同じハッシュ値
   「5e884898da28047151d0e56f8dc6292773603d0d6aabbbdd62a11ef721d1542d8」
   を持っています。
5. 攻撃者はすでにこのハッシュ値に対応する平文パスワードをレインボーテーブル攻撃で入手しているため、「③仮に対策の一つが破られても他の対策で攻撃を防ぐという考え方に基づき」実装されていても同じパスワードを用いる他会員のアカウントが最も狙われやすくなります。
6. よって、最も不正アクセスを受けるおそれが強いのは会員番号「30781985」に該当する解答群「イ」となります。

誤りやすいポイント

• ハッシュ値が重複している行を見落とし、姓や名が同じだからといって別レコードを選んでしまう。
• 「ac9689e22724…」など別のハッシュ値でも重複があるが、攻撃者が必ずしもそのハッシュの平文パスワードを得ているとは限らない点を忘れる。
• 「21717202」と同じ氏名「T中 T郎」を持つ「45917046」に着目してしまうが、ハッシュ値が異なるため同じパスワードである保証はない。

FAQ

解答の論理構成

1. 問題文は、攻撃対策の基本方針として
   「③仮に対策の一つが破られても他の対策で攻撃を防ぐという考え方に基づき」
   と述べています。
2. これは、同じ脅威に対して複数の異なる防御策を重ねることで、ある層が突破されても次の層で被害を食い止める設計思想を示しています。
3. この思想を表す代表的な日本語の専門用語が「多層防御」です。
4. よって解答は「多層防御」となります。

誤りやすいポイント

• 「ゼロトラスト」や「境界防御」と混同しやすいですが、問題文は“複数の対策を積み上げる”ことに焦点を当てています。
• 英語表現 “Defense in Depth” をそのままカタカナで「ディフェンスインデプス」と答えると漢字4字の条件を満たしません。
• “多重防御” と書く受験生もいますが、試験で一般的に採用される用語は「多層防御」です。

FAQ

解答の論理構成

• 本文では下線部④について「ペッパーとして、全ての会員に共通のランダムな文字列を用意し、Webサーバ内の外部からアクセスできない安全な領域に格納する。」と記載されています。
• これに対してソルトは「会員ごとに異なるランダムな文字列を用意し、会員テーブルに格納する。」とあります。
• 本シナリオで攻撃者が成功した手順は「②SQLインジェクション攻撃によって会員テーブルのデータを取得する」です。すなわち攻撃者が閲覧できるのは会員テーブル内のデータのみで、Webサーバの安全な領域には到達できません。
• ソルトはテーブルに含まれるため窃取されてもおかしくありませんが、ペッパーは「Webサーバ内の外部からアクセスできない安全な領域」に置かれ、同じ経路では取得できません。
• よって「会員テーブルの窃取だけではペッパーを得ることができない」ため、ハッシュ値から逆算しようにも未知のペッパーが計算を妨げ、レインボーテーブル攻撃が困難になります。

誤りやすいポイント

• ソルトとペッパーを同じ場所に保存すると考え、効果を過小評価してしまう。
• 「共通のランダムな文字列＝推測しやすい」と誤解し、安全領域にあるという前提を見落とす。
• レインボーテーブル攻撃は総当たり攻撃aと同じ対策で止められると思い込み、テーブル窃取の脅威を軽視する。

FAQ

解答の論理構成

1. 文字種類の確認
   本文には「パスワードとして使用できる文字は、英数字に一部の記号を加えた70種類である。」とあります。したがって、1文字当たりの取り得るパターン数は $70$ 通りです。
2. 比較するパスワード長
   変更前　―　「パスワードは、6字以上16字以下で設定する。」
   変更後　―　「パスワード長を10字以上64字以下に変更した。」
   今回求めるのは“10字の場合、6字の場合と比べて”の倍率です。
3. 可能な文字列総数
   ・長さ6文字の総数：$70^6$
   ・長さ10文字の総数：$70^{10}$
4. 倍率の算出
   倍率 ＝ $\frac{70^{10}}{70^6}=70^{10-6}=70^4$
5. 結論
   c に入る数は $70^4$ となります。

誤りやすいポイント

• 「70種類」を「62種類（英数字のみ）」と誤って読み取る。問題文中の「一部の記号を加えた70種類」を必ず引用確認しましょう。
• 6字と10字の差を単に“4文字増えた”と解釈し、$70\times 4$ など線形増加と勘違いする。実際には指数的に増える点が本質です。
• 最大長 64 字に注目してしまい、比較対象が“10字と6字”であることを見落とす。

FAQ