情報処理安全確保支援士 2009年 秋期 午後1 問03

解答の論理構成

• 図2には四つのセキュリティ要件が列挙され、そのうち要件1・3・4は問題文中で明示されています。残る要件2が本設問の空欄 ア です。
• 問題文には「認証シーケンス1によって要件を満たしていることが確認された」とあります。認証シーケンス1は、ＰＣ側が生成した乱数を用いて「ＩＣカードが真正であること」を確認する処理であり、偽造カードや無関係なカードは応答を返せない設計です。
• したがって、要件2は「ＩＣカードそのものの真正性を保証すること」、すなわち「正規のＩＣカードだけが使用できること」であると導けます。
• 以上より、ア には「正規のICカードだけが使用できること」を記入するのが妥当です。

誤りやすいポイント

• 要件4「ICカードが、正当な使用権限をもった者以外の者に使用されないこと」と混同しやすい。要件4は“人”の権限、要件2は“カード”そのものの真正性を扱います。
• 認証シーケンス1・2の役割分担を逆に解釈してしまい、「ＰＣの真正性確認」が要件2だと誤答するケースがあります。
• 「改ざん防止」「盗聴対策」などのキーワードに引きずられ、要件1・3の内容を流用してしまう誤り。

FAQ

解答の論理構成

1. 問題文では、レビュー時の確認内容として
   「ICカードは、イと図3中の認証シーケンス2によって要件1を…満たしている」
   と記述されています。
2. 要件1は “ICカード内部の情報が不正に読み出されたり、改ざんされたりしないこと” であると読み取れます。
3. 不正な読み出し・改ざんをハードウェアレベルで防止する代表的な性質は、ICカードの「耐タンパ性」（Tamper Resistance）です。
4. 「認証シーケンス2」はプロトコル面での保護を示し、これと併せてハードウェア自体が改ざんに強いことが求められるため、イには「耐タンパ性」が最も適切です。

誤りやすいポイント

• 通信を暗号化する機能（盗聴対策）は要件3で扱われており、要件1の対策とは別である点を混同しがちです。
• 「アクセス制御」や「PIN でのロック」は論理的防御であり、物理的な改ざん耐性とは異なることを見落としやすいです。
• 「耐タンパ機能」「改ざん検知機能」など類似表現を用いると、設問の回答欄と一致せず減点になる恐れがあります。

FAQ

解答の論理構成

• 【問題文引用】「さらに、ICカードをaしていることと、暗証番号(以下、PIN という)をbしていることに基づく認証によって、要件も満たしていることが確認された。」
• 上記は多要素認証の典型的な説明です。
  1. ICカードという物理的な媒体は「持っているかどうか」で判定する“所有要素”。
  2. PIN は本人しか知らない“知識要素”。
• 所有要素を示す漢字2字は「所持」、知識要素を示す漢字2字は「記憶」が慣例的・用語的に用いられます。
• よって
  aに入る語：ICカードを「所持」していること
  bに入る語：PIN を「記憶」していること

誤りやすいポイント

• 「携帯／保持」や「知識／入力」など、字数・専門用語を意識せずに解答してしまう。
• “生体要素”と混同し、「生体」などと書いてしまう。設問では物理カードとPINの組合せに限定されている。
• 2字指定を見落とし、3字以上で記述して失点。

FAQ

解答の論理構成

1. 図3の凡例に「図3中の鍵1は PC を認証するための鍵、鍵2はICカードを認証するための鍵を示す。」と明記されています。
   これが鍵選択の大原則です。
2. 認証シーケンスの前半
   • ①で PC が乱数を送り、②で ICカードがその乱数を処理して返します。
   • ②・③は ICカード側の正当性を確認するフェーズなので、「ICカードを認証するための鍵」に該当します。
   • よって②と③で使うのは「鍵2」です。
3. 認証シーケンスの後半
   • ④で ICカードが乱数を送り、⑤で PC が処理して返します。
   • ⑤・⑥は PC の正当性を確認するフェーズなので、「PC を認証するための鍵」に該当します。
   • よって⑤と⑥で使うのは「鍵1」です。
4. 以上より解答は
   ②：2
   ③：2
   ⑤：1
   ⑥：1 となります。

誤りやすいポイント

• 「処理する側の鍵を使う」と早合点し、②を鍵1と思い込むミス。凡例の説明通り“誰を認証しているか”が判断基準です。
• 乱数を送った主体ではなく「応答を返す側」が認証される点を取り違えるケース。
• 相互認証の順序を逆に読み取り、⑤⑥を鍵2と答えてしまう混乱。

FAQ

解答の論理構成

1. 図３左側の PC では「① 乱数を生成」とあり、その乱数を ICカードへ送信しています。
2. ICカード側の最初の処理が「② c」です。ICカードは受け取った乱数を加工し、結果を PC へ返すことで自身の正当性を示します。
3. その後 PC では「③ 正当性を検証」とあり、送られてきた結果が自分で計算した値と一致するか確認しています。
4. 乱数をそのまま送り返すだけでは第三者が再送信するだけで認証を通過できるので、加工には秘密情報（鍵１・鍵２）を用いる必要があります。問題文には「通信内容は暗号化されており、要件３を満たしている」と記載されており、暗号化処理であることが示唆されています。
5. 以上より、c には「乱数を暗号化」が適切です。ハッシュ生成によるチャレンジ応答方式でも同じ理屈で成立するため、模範解答は「乱数を暗号化 又は ハッシュ値を生成」となります。

誤りやすいポイント

• 「乱数を送信」と「乱数を暗号化」の順序を逆に読み取ってしまい、[c] を「乱数を生成」と誤答するケース。
• 「暗号化」と「電子署名」の区別をあいまいにし、「乱数に電子署名」と書いてしまうケース。図３では共通鍵で行う想定なので電子署名は不適切です。
• 乱数を単に「そのまま返す」と誤解し、リプレイ攻撃への耐性を見落とすケース。

FAQ

解答の論理構成

1. まず、読み出しを利用者 PIN で保護すべき項目を探します。問題文には
   「PCや業務サーバにログインするときに必要なパスワードは、乱数を基に自動生成されて LDAP サーバとICカードに格納される。」
   とあり、PC はこの値を読み取ってログイン処理に使います。他人に読み取られると成り済ましにつながるため、利用者が 自分の PIN を入力したときだけ 読み出せるようにするのが妥当です。表でパスワードは項番「5」です。
   よって「読み出せるようにすべき情報」は 5 となります。
2. 次に、書込みを利用者 PIN で保護すべき項目を探します。運用管理案には
   「利用者は、受領後に利用者PINを設定する。」
   とあり、利用者自身が PIN を変更できなければなりません。一方で、第三者が勝手に書き換えると不正使用を許してしまいます。したがって 利用者PIN の書込みは PIN 入力による本人確認が必須 です。表で利用者PINは項番「6」です。
   よって「書き込めるようにすべき情報」は 6 となります。
3. 以上から、解答は
   ・読み出せるようにすべき情報：5
   ・書き込めるようにすべき情報：6
   となります。

誤りやすいポイント

• 「利用者ID（項番4）」を PIN で保護すると考える受験者が多いですが、利用者ID は LDAP で公開情報として扱われるため、秘匿対象ではありません。
• 「パスワードは変更しない」との記述から書込み側を選ぼうとしてしまうミス。変更しない＝書込み不要ではなく「読み取りだけ許可し、上書きを禁止」という意味です。
• 利用者PINの初期値が「ゼロ」と明示されているため「自由に書き込める」と誤解しがちですが、初期化以外の書込みには本人確認が必要です。

FAQ

解答の論理構成

1. 基本方針の確認
   【問題文】には
   「ICカード内の格納情報に対しては、利用者が入力する利用者 PIN と、運用管理者が入力する管理者 PIN によって、読出しの制限や書込みの保護を行う。」
   とあります。すなわち「誰が書き込むか」でアクセス制御を分けることが前提です。
2. 各格納情報の性質を整理
   ① 項番「1　ICカードの個体番号」・項番「8　認証鍵 [鍵1、鍵2]」
   　　 いずれも「納入時設定済[変更不可]」と明記されています。書込み自体が不要なので対象外です。
   ② 項番「6　利用者PIN」
   　　 【問題文】には「利用者は、受領後に利用者PINを設定する。」とあります。利用者自身が変更するため、管理者 PIN 専用にはできません。
   ③ 項番「2　有効期限」
   　　 ICカードの発行・回収を行うのは人事部や運用管理者であり、利用者が任意で変更できてはなりません。したがって管理者 PIN だけで書込み可能とすべきです。
   ④ 項番「3　従業者番号」
   　　 【問題文】は「従業者番号は、従業員の入社時、派遣従業員又は嘱託従業員の受入れ時に割り当てられ…不変である。」と述べています。運用管理者が初期設定し、その後は変更しないので、管理者 PIN 専用が妥当です。
   ⑤ 項番「4　利用者ID」
   　　 アカウント管理は LDAP で一元管理され、カード側への書込みは管理者作業です。利用者が触れられないよう管理者 PIN 専用にします。
   ⑥ 項番「5　パスワード」
   　　 「乱数を基に自動生成されて LDAP サーバとICカードに格納される。」とあり、利用者は変更しません。ここも管理者 PIN 限定が必要です。
   ⑦ 項番「7　管理者PIN」
   　　 自分自身の変更を利用者ができては意味がありません。運用管理者だけが書込めるようにします。
3. 結論
   管理者 PIN を入力したときだけ書き込めるべき項番は
   「2」「3」「4」「5」「7」
   となります。

誤りやすいポイント

• 利用者 PIN（項番「6」）を管理者しか書込めないと勘違いする
  利用者自身が受領後に設定する運用フローなので誤りです。
• 「変更不可」と書かれている項番「1」「8」を含めてしまう
  書込み操作自体が想定されていないため、PIN 制御の議論対象外です。
• パスワード（項番「5」）は利用者が定期変更すると想像してしまう
  実際は「ICカードの有効期限内はパスワードを変更しない」と指示されています。

FAQ

解答の論理構成

1. 失効管理の目的
   【問題文】には「失効 ICカードリストに登録され、失効 ICカードがリーダにかざされると、このリストとの照合によって失効していることが検出される」とあります。
   ➜ リーダ側はリストに載っている値とカード内の値を即時照合し、アクセスを遮断する仕組みです。
2. 照合に必要な条件
   • 全カードで一意である
   • 変更されない
   • 読み出し可能
   これらを満たす情報を表から探します。
3. 表の比較
   • 項番「1」「ICカードの個体番号」は「○:読出し可」「納入時設定済[変更不可]」。
   • その他の項目は「有効期限」「従業者番号」「利用者ID」など、期限切れや人事異動で変わる可能性があります。
4. 結論
   変更されず一意に識別でき、読み出しも許可されているのは項番「1」のみ。したがって
   – 項番：1
   – 理由：失効 ICカードを一覧に識別できるから

誤りやすいポイント

• 「従業者番号」や「利用者ID」は人の情報であり、同一人物に再発行した場合リストで誤判定する恐れがあります。
• 「有効期限」はカードを区別できず、期限が過ぎたカードのみしか除外できません。
• 「パスワード」など読出し不可項目はリーダ側で照合データを取得できないため不適切です。

FAQ

解答の論理構成

1. 現状フローの確認
   【問題文】図4「2. ICカード忘れ」では
   ・「ICカードを忘れて出社した者は、運用管理者に届け出る。」
   ・「運用管理者は、本人確認を行った後、臨時ICカード…貸与する。」
   とあり、元のICカード（以下、元カード）に対する処置が記載されていません。
2. セキュリティ要件の再確認
   【問題文】図2 要件4「ICカードが、正当な使用権限をもった者以外の者に使用されないこと」が求められています。
3. リスクの抽出
   ・元カードが実際には紛失・盗難されていても、「忘れた」として申請すれば臨時ICカードが発行され、元カードは依然有効となります。
   ・元カードを持つ第三者が入退室・ログイン・印刷を行えるため、要件4を満たせません。
4. 必要な対策
   要件4を守るためには、元カードが安全にあることを確認できるまで認証基盤上で利用不能にする必要があります。
5. 解答
   以上より「忘れたICカードを運用管理者に提示するまでいったん失効する。」が適切です。

誤りやすいポイント

• 「臨時ICカードを発行するから大丈夫」と考え、元カードの扱いを失念する。
• 「失効」と「利用停止」の用語を混同し、失効リストへの登録を漏らす。
• 要件4ではなく要件1や要件3と結び付けて説明してしまう。

FAQ

解答の論理構成

1. ICカード利用時の入力操作
   • 問題文には「ログイン時はICカードをリーダにかざして…利用者 PIN を入力するが、入退室と印刷時は…ICカードをかざすだけで利用者 PIN は入力しない。」とあります。
   • したがって認証プリンタでは“カード提示のみ”で本人認証が完了します。
2. 紛失・盗難時の手続きとの時間差
   • ICカード紛失時のフローとして「ICカードを紛失した者は、速やかに運用管理者に届け出る。」とあります。
   • しかし届け出から「失効 ICカードリスト」への登録までは手続きが必要で、その間はカードが有効です。
3. スプールされている印刷データの特性
   • 「プリントサーバにスプールされる」「利用者IDでひも付けされたデータが印刷される。」とあるように、印刷ジョブはプリントサーバに一時保管されています。
4. 残留リスクの発生
   • PIN を使わず ICカードのみで認証できるため、拾得者が紛失カードを用いてリーダにかざすだけで「スプールに滞留したデータ」が印刷可能です。
   • これが設問要求の“PIN を入力しないことで生じる残留リスク”の根拠です。
5. 以上を踏まえ、模範解答は
   「紛失したICカードが不正使用され、スプールに滞留したデータが印刷される。」
   となります。

誤りやすいポイント

• 「印刷もログインと同じく PIN 入力が必要」と思い込む。
• スプールを「プリンタ内一時領域」と誤解し、サーバ側に残ることを見落とす。
• 紛失届出＝即時無効と考え、手続き遅延によるリスクを評価しない。

FAQ

解答の論理構成

1. 共有スプールにデータが滞留する構造
   • 【問題文】には「業務サーバからの印刷要求は、プリントサーバにスプールされる。」とあります。
   • さらに「スプールは共用されるので、決まった認証プリンタではなく、近くの空いている認証プリンタを使うことができる。」とも記載されています。
   • 共用スプールに残ったまま利用者が印刷を実行し忘れると、機密文書がプリントサーバ内に残留するリスクが発生します。
2. 残留リスクの性質
   • 認証プリンタは「利用者IDでひも付けされたデータ」を出力しますが、スプールに残っている間はファイルとして保持されるため、内部不正やサーバ侵害で閲覧される恐れがあります。
   • 機微情報の長期滞留を防ぐことが最優先です。
3. リスク低減策の決定
   • サーバ側で自動削除タイマーを設定し、「一定時間操作がなければデータを消去」することで滞留期間を最小化できます。
   • この措置はプリントサーバだけで完結し、既存の認証フローやユーザ利便性に大きな影響を与えません。
4. したがって、解答は「所定時間内に印刷されないデータは削除する」となります。

誤りやすいポイント

• 「暗号化通信だから安全」と考え、サーバ内保存データの残留を軽視する。
• プリンタ本体での自動削除を答えてしまい、プリントサーバ側の対策を示さない。
• 「全データを印刷完了後に削除」とだけ書き、肝心の“所定時間内に印刷されない場合”を明示しない。

FAQ