情報処理安全確保支援士 2013年 秋期 午前2 問01

RLOによる拡張子偽装【午前2解説】

正解の理由

解法ステップ

1. 問題文キーワードを探す：「表示順」「制御文字」「拡張子」「偽装」などがあればRLOやBiDi攻撃を連想する。
2. 各選択肢の意味を迅速に判別：恐喝（スケアウェア）、公開して観察（ハニーポット）、SNMP通知などの一般的用語と照合する。
3. 表示順を変える制御文字の説明がある選択肢を選ぶ。テキスト表示の操作に関する言及が正解候補。

選択肢別の誤答解説

• ア: 偽の警告で脅して有料ソフトを買わせる手口は「スケアウェア」や「偽セキュリティ警告」であり、RLOの説明ではない。
• イ: 脆弱なホストを公開して攻撃を観察する行為は「ハニーポット」や「ハニーネット」に相当し、表示順の制御とは無関係。
• ウ: ネットワーク機器の監視値をSNMPマネージャに通知するのは「SNMPトラップ」や監視機能の説明であり、文字表示制御とは別分野。
• エ: 文字の表示順を変える制御文字を使ってファイル名の拡張子を見せかける、という説明がRLO（U+202E）の典型的な悪用例であり、問題文に一致する。

よくある誤解

• RLOで表示が変わってもファイルの実拡張子が書き換わるわけではない：表示上の「だまし」なので、実体（拡張子・ファイルタイプ）はそのまま残る。
• RLOはWindowsだけの現象だと思い込む誤り：Unicode BiDiの制御文字なので、表示にUnicodeを使う環境（ファイルマネージャ、メールクライアント、ブラウザ等）で影響する可能性がある。
• RLOの後に必ず終端文字（U+202C）が必要と考える誤解：多くの表示系では行末や他の文字で終わるとRLOの影響が及ぶため、攻撃者は必ずしも明示的に終端を置かなくても偽装が可能。

補足コラム

• 技術的背景：RLO (U+202E) は「右から左に表示する」指示を与え、対応する終端は PDF (Pop Directional Formatting、U+202C) です。BiDi（Bidirectional）アルゴリズムに基づき表示のみを制御します。
• 検出と対策例：
  • 表示上の拡張子を信用せず、OSの「拡張子を常に表示する」設定を有効にする。
  • ファイル名に制御文字（U+200E〜U+202Eなど）が含まれていないか検査する。簡易的には正規表現やUnicodeカテゴリチェックで非表示制御文字を除外する。
  • メールやダウンロード時に実行ファイルの取り扱いを厳格化（拡張子に疑義があればブロック）する。
• 実例（概念示例、端末やGUIでの見え方は環境差があります）：
  • 実ファイル名: report\u202Etxt.exe
  • 表示例（GUI上）: reportexe.txt
  • 利用者は末尾が ".txt" に見えるため誤開封しやすい。

# ファイル名に可視化されない制御文字が含まれているか確認
def has_bidi_control(s):
    bidi_controls = ["\u202A","\u202B","\u202C","\u202D","\u202E"]  # LRE, RLE, PDF, LRO, RLO 等
    return any(ch in s for ch in bidi_controls)

names = ["report\u202Etxt.exe", "safe_document.txt"]
for n in names:
    print(n, "-> has_bidi_control:", has_bidi_control(n))

FAQ