ITパスポート 2015年 春期 問61

ワンタイムパスワードを用いることによって防げることはどれか【ITパスポート 解説】

正解の理由

解法ステップ

1. 用語を確認する
   • ワンタイムパスワード（OTP）：一度だけ使える短時間有効なパスワード。TOTP（時間ベース）やHOTP（カウンタベース）などがある。
2. 各選択肢がOTPの仕組みで防げるかを考える
   • 「漏えいした固定パスワードだけでのログイン」については、OTPがあればパスワードだけでは足りないので防げる。
   • 他の選択肢（通信盗聴、改ざん、ウイルス感染）は、OTP自体だけでは根本対策にならないことに気づく。
3. 結論：OTPが直接防ぐのは、静的パスワード単独での不正利用、すなわち エ。

選択肢別の誤答解説

• ア: 通信経路上におけるパスワードの盗聴
  • 「盗聴」は通信を盗み見すること（例：盗聴＝eavesdropping、第三者が通信内容を傍受すること）。OTPは「使い捨て」なので、盗聴されたそのコードが有効期間内であれば攻撃者は利用できる可能性があります。つまり、OTPは盗聴そのものを防ぐ（暗号化する）技術ではありません。通信路の盗聴対策にはHTTPSなどの暗号化が必要です。したがってこの選択肢は誤りです。
• イ: 不正侵入された場合の機密ファイルの改ざん
  • 「不正侵入された場合」とは、既にシステム内に攻撃者が入っている状態を指します。内側に侵入されてしまった後は、OTPだけではファイルの改ざんを防げません。改ざん防止にはアクセス制御、監査ログ、整合性チェック（ハッシュ）など別の対策が必要です。よって誤りです。
• ウ: 不正プログラムによるウイルス感染
  • ウイルス感染は端末のセキュリティ問題です。OTPは認証方法であり、マルウェアの侵入や実行を防ぐものではありません。ウイルス対策ソフトやOSの更新、マルウェア対策が必要です。したがって誤りです。
• エ: 漏えいしたパスワードによる不正侵入（正解の趣旨）
  • 固定パスワードが漏れても、ログインにOTPが要求されれば、そのパスワードだけでは入れません。OTPは「その場限りの追加認証」として機能するため、漏えいした静的パスワードによる不正侵入を防ぐ効果があります。

よくある誤解

1. 「OTPは盗聴されても安全」ではない
   • SMSや通知で届くOTPを盗聴（またはリアルタイムで傍受）されれば、攻撃者は短時間ならログイン可能です。特にSMSはSIMスワップ詐欺や盗聴に弱い点があります。
2. 「OTPがあれば端末のウイルスは無関係」ではない
   • 端末がマルウェアに感染していると、入力したOTPをキーロガーが送信するなどで突破されることがあります。端末の安全性も重要です。
3. 「OTPは万能の防御」ではない
   • OTPはパスワード漏えいに対して有効ですが、他の攻撃（中間者攻撃、セッションハイジャック、内部者の悪用など）は別対策が必要です。

補足コラム

• OTPの種類（簡単に）
  • TOTP（Time-based One-Time Password：時間ベース）
    • 時刻（例：30秒単位）で変わるコードを双方が生成。Google Authenticatorなどで使われます。
  • HOTP（HMAC-based One-Time Password：カウンタベース）
    • サーバとトークンのカウンタを元に変わるコード。ハードトークンで使われることがあります。
  • SMS OTP
    • 携帯電話のSMSでコードを送る方式。手軽だがSIMスワップやSMS傍受のリスクがある。
• 実務のおすすめ
  • 可能ならTOTPやハードウェアトークンを使う。SMSは利便性は高いがセキュリティ面では劣る。
  • OTPは二要素認証（2FA: Two-Factor Authentication）や多要素認証（MFA: Multi-Factor Authentication）の一部として導入することが多い。二要素認証とは「知っているもの（パスワード）」と「持っているもの（スマホの認証アプリやトークン）」を組み合わせる方法です。

FAQ