ITパスポート 2014年 春期 問66

データを暗号化することによって防ぐことのできる脅威はどれか。【ITパスポート 解説】

正解の理由

• TLS（Transport Layer Security：通信を暗号化する仕組み）はウェブやメールの通信を保護します。
• AES（Advanced Encryption Standard：よく使われる共通鍵暗号）は高速に暗号化・復号する方式です。
• 公開鍵暗号（public-key cryptography：送受信に使う鍵を安全にやり取りする方式）も説明の一部として使われます。
• 盗聴（eavesdropping）：通信の中身を第三者がこっそり見ること。

解法ステップ

1. 各選択肢が「どんな脅威」かを短く理解する。
   • ア：誤操作で削除される（人や操作ミスによる問題）
   • イ：ソーシャルエンジニアリング（social engineering：人の心理をついて情報を引き出す手口）
   • ウ：通信の盗聴（ネット上のデータを傍受して見ること）
   • エ：DoS（Denial of Service：サービス妨害攻撃）でサーバが使えなくなる
2. 「暗号化が何を守るか」を確認する。暗号化は主に「機密性（Confidentiality：内容を見られないこと）」を守る。
3. 各脅威が「機密性」「完全性」「可用性」のどれに関わるかを対応させる。
   • 暗号化は機密性に有効 → 通信の盗聴に有効（ウ）
   • 誤操作やDoSは可用性や操作ミスの問題 → 暗号化では防げない
   • ソーシャルエンジニアリングは人をだます手口 → 暗号化では防げない
4. よって正しい答えは ウ。

選択肢別の誤答解説

• ア: 誤操作によるデータの削除
  暗号化はデータの「中身を読めない」ようにしますが、削除（消してしまうこと）を防ぐ機能はありません。削除対策はバックアップ、アクセス権管理、操作ログや確認の仕組みが必要です。
• イ: ソーシャルエンジニアリング
  これは人の心理を利用してパスワードなどをだまし取る攻撃です。暗号化は通信の中身を守りますが、人が直接パスワードを教えてしまえば暗号化していても意味がありません。ユーザー教育や多要素認証（MFA：Multi-Factor Authentication）などが有効です。
• ウ: 通信内容の盗聴
  暗号化は通信の盗聴に有効です。たとえばHTTPS（ウェブの通信をTLSで暗号化）なら、途中で傍受されても中身は読めません。したがって ウ が正解です。
• エ: データが保管されるサーバへのDoS攻撃
  DoS（Denial of Service：サービス妨害攻撃）はサーバを過負荷にしてサービスを止める攻撃です。暗号化はデータの可視性に関する対策であり、サービス停止を防ぐものではありません。対策は負荷分散やトラフィック制御、DDoS対策サービス等です。

よくある誤解

1. 「暗号化すればすべて安全になる」
   暗号化は機密性（内容を見られないこと）を高めますが、可用性（使えること）や人のミスには無力です。削除やDoS、端末のウイルスなどは別の対策が必要です。
2. 「暗号化していればフィッシングや詐欺も防げる」
   フィッシングはユーザーを騙してID・パスワードを入力させる手口です。暗号化は通信路を保護しても、ユーザーが正しい情報を渡してしまえば意味がありません。教育や認証強化が重要です。
3. 「HTTPSなら全部安全」
   HTTPS（TLS）は通信の途中の盗聴を防ぎますが、通信の両端（自分のPCや相手のサーバ）が既に侵害されていれば情報は盗まれます。端末のセキュリティ対策も必要です。

補足コラム

• 機密性・完全性・可用性（CIAトライアド）
  セキュリティの基本は「機密性（Confidentiality）」「完全性（Integrity：改ざんされていないこと）」「可用性（Availability：使えること）」の3つです。暗号化は主に機密性を守りますが、完全性（署名やMAC）や可用性（バックアップ、冗長構成）は別手段で守ります。
• 通信の暗号化の具体例
  • TLS：ウェブやメールの通信を暗号化する仕組み。ブラウザの「鍵マーク」が目印です。
  • VPN：仮想専用線で通信を暗号化して安全に接続します。
  • メッセージアプリのエンドツーエンド暗号化：送信者〜受信者の間でだけ復号できる方式で、中継サーバも内容を見られません。
• キー管理の重要性
  暗号化は鍵が安全に管理されてこそ意味を持ちます。鍵が漏れると暗号化の効果は失われます。

FAQ