ITパスポート 2019年 春期 問100

電子商取引における否認防止策【ITパスポート 解説】

正解の理由

• 発信元確認（誰が作ったか）
• データの改ざん検出（途中で内容が変えられていないか）
• 否認防止（送信者が「自分は送っていない」と主張しにくくする）

解法ステップ

1. 問題文で強調されている語句を探す：「否認されることを防止」→ セキュリティの「否認防止（non-repudiation）」を求めている。
2. 否認防止を実現する技術を思い出す：ディジタル署名（電子署名）が典型。
3. 各選択肢と照らし合わせる：
   • ディジタル署名は否認防止に直結 → 正しい。
   • 暗号化は機密性（盗聴防止）→ 否認防止とは異なる。
   • PCパスワードやウイルス対策は運用・予防で、証拠保全にはならない。
4. よってウを選ぶ。

選択肢別の誤答解説

• ア: 相手が取引に使用するPCには、OSのログインパスワードを設定してもらう。
  → PCの不正利用を減らすなどの効果はありますが、「誰がその注文を作成したか」を証明する手段にはなりません。紙の署名で言えば「家の鍵をかける」ような防犯で、署名の証拠にはならないイメージです。
• イ: 相手のイントラネット内のウイルス対策を行ってもらう。
  → ウイルス対策は感染防止や被害軽減のため重要ですが、注文の作成者や内容の正当性を証明する手段ではありません。セキュリティ対策の一部であって、否認防止とは分野が違います。
• ウ: 注文データにディジタル署名を付与してもらう。
  → 正答。ディジタル署名は送信者固有の電子的な署名で、署名検証により送信者とデータの改ざんの有無を確認できます。否認防止に最も適します。
• エ: 注文データを暗号化してから送ってもらう。
  → 暗号化（encryption）はデータを読み取られないようにする手段で、機密性を保ちます。しかし送信した事実そのものや送信者の否認防止を直接保証するものではありません。例えば暗号化データは送った本人以外が作ることも可能なので、否認防止として不十分です。

よくある誤解

1. 「暗号化すれば否認防止もできる」
   → 暗号化は情報を読めなくする技術です。誰が送ったかを証明する機能は基本的にありません。署名と暗号は役割が違います。
2. 「電子署名があれば完全に否認できない」
   → 電子署名は強力な証拠になりますが、運用（鍵の管理がずさん／秘密鍵が漏えい）や手続き（タイムスタンプがない）によっては証拠力が弱まることがあります。鍵管理や証明書の扱いが重要です。
3. 「送信者のPCのパスワードがあれば送った証拠になる」
   → PCのパスワードは個人認証の一つですが、例えば他人がそのPCを使って送信した可能性を完全に否定できません。電子署名のほうが証拠として望ましいです。

補足コラム

• ディジタル署名の仕組み（簡単に）
  典型的には次の手順で署名します。
  1. メッセージ（注文データ）にハッシュ関数（hash function：データを短い固定長の値に変換する関数）で要約値を作る。
  2. その要約値を送信者の秘密鍵で暗号化（＝署名作成）。
  3. 受信者は送信者の公開鍵で署名を復号し、同じハッシュ関数で計算した要約値と一致するかを確認する。
     この「ハッシュ＋秘密鍵で署名する」方式により、改ざん検出と発信者確認ができ、否認防止になります。
• 法律面（日本）
  日本の「電子署名法」では、一定の方式で作成された電子署名は本人が作成したと推定される旨が規定されています。業務上の取引で強い証拠力を持たせたい場合は、適切な電子署名の方式やタイムスタンプの利用、認証局（CA：Certification Authority）での証明が重要です。

FAQ