ITパスポート 2015年春期問61

問題文

ワンタイムパスワードを用いることによって防げることはどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：通信経路上におけるパスワードの盗聴

イ：不正侵入された場合の機密ファイルの改ざん

ウ：不正プログラムによるウイルス感染

エ：漏えいしたパスワードによる不正侵入（正解）

🔒 解説は解答すると表示されます

ワンタイムパスワード【ITパスポート解説】

正解の理由

ワンタイムパスワード（OTP：one-time password。使い捨ての一時的な合言葉）は、毎回異なる一度だけ有効な番号や文字列を使います。これに対して静的パスワード（いつも同じパスワード）は一度漏えると繰り返し使われます。したがって、漏えいした静的パスワードだけでは不正侵入されない（＝不正侵入を防げる）ため、エが正解です。

ただし注意点として、攻撃者がその時点で有効なOTPを同時に入手できれば侵入される可能性があります。OTPは「漏えいした静的パスワードのみ」を利用した不正侵入を防ぐ仕組み、という点がポイントです。

解法ステップ

各選択肢が「何を防ぐ」ことを簡単に定義する（盗聴、改ざん、ウイルス、漏えい利用）。
OTPの性質を思い出す：一度しか使えない／短時間で無効になる。
「漏えいした静的パスワードだけでログインできるか」を考える。OTPがあれば単独の静的パスワードではログインできない → 正答を決定。

短く言うと「一度しか使えない」点が決め手です。

選択肢別の誤答解説

ア: 通信経路上におけるパスワードの盗聴
OTPは盗聴の影響を減らしますが、通信を盗聴して有効なOTPを即座に使われれば防げません。したがって「完全に防ぐ」とは言えず不正解です。
イ: 不正侵入された場合の機密ファイルの改ざん
これは侵入後の振る舞い（内部での改ざん）に関する問題です。OTPは「侵入の障壁」であり、既に侵入された状態でのファイル改ざんを防ぐものではないため誤りです。
ウ: 不正プログラムによるウイルス感染
ウイルス感染はマルウェアやソフトの脆弱性に起因します。OTPは認証手段であり、感染自体を防ぐ目的はありません。よって誤りです。
エ: 漏えいしたパスワードによる不正侵入
漏えいした静的パスワードだけではログインできない設計にするのがOTPの代表的な効果です。したがってエが適切です（ただしOTP自体の漏えいやリアルタイム盗聴には注意）。

よくある誤解

OTPは「盗聴を完全に防ぐ」と思いがちだが、リアルタイムで有効なOTPを盗まれると利用される可能性がある。
OTPで全ての不正行為が防げるわけではない。端末のマルウェアやサーバ側の脆弱性は別対策が必要。
「二段階認証」と「OTP」は同じではない。OTPは二段階認証で使われる手段の一つ。

補足コラム

代表的なOTPの方式：

HOTP（HMAC-based One-Time Password）：カウンタ（使うたびに増える数）を使う方式。
TOTP（Time-based One-Time Password）：時刻を基に短時間だけ有効なコードを生成する方式。
実装例：スマホの認証アプリ（Google Authenticatorなど）やハードウェアトークン、SMSで送られるコードなどがあります。SMSはSIMスワップ詐欺などで盗まれる危険があるため、可能なら認証アプリやハードウェアトークンを推奨します。

FAQ

Q1: 盗まれたOTPは使われますか？
A1: 有効期間内に盗まれれば使われる可能性があります。TOTPは一般に30〜60秒程度の短い有効期間です。

Q2: OTPは二段階認証（2FA：Two-Factor Authentication）と同じですか？
A2: OTPは「何かを知っている（知識要素）」や「何かを持っている（所有要素）」と組み合わせて使われることが多い手段です。2FAは異なる種類の2つの要素を使う認証方式の総称で、OTPはその要素の一つとして用いられます。

Q3: すべてのサービスでOTPを使うべきですか？
A3: 重要なアカウント（銀行、メール、社内システムなど）では導入を強く推奨します。手間とリスクのバランスで導入を検討してください。

関連キーワード: ワンタイムパスワード, OTP, TOTP, HOTP, 二要素認証, 静的パスワード, 盗聴対策, 認証セキュリティ