ホーム > 情報処理安全確保支援士試験 > 2013年 春期
情報処理安全確保支援士試験 2013年 春期 午前2 問05
サイドチャネル攻撃の説明はどれか。
ア：暗号アルゴリズムを実装した攻撃対象の物理デバイスから得られる物理量(処理時間や消費電流など)やエラーメッセージから、攻撃対象の機密情報を得る。（正解）
イ：企業などの機密情報を詐取するソーシャルエンジニアリングの手法の一つであり,オフィスの紙ゴミの中から不用意に捨てられた機密情報の印刷物を探し出す。
ウ：通信を行う二者の間に割り込んで, 両者が交換する情報を自分のものとすり替えることによって,気付かれることなく盗聴する。
エ：データベースを利用する Web サイトに入力パラメタとして SQL 文の断片を与えることによって, データベースを改ざんする。
解説
サイドチャネル攻撃の説明はどれか【午前2 解説】
要点まとめ
- 結論：サイドチャネル攻撃とは、物理デバイスから得られる処理時間や消費電流などの物理量を解析して機密情報を盗み出す攻撃手法です。
- 根拠：暗号アルゴリズム自体の弱点を突くのではなく、実装時の物理的な情報漏洩を利用する点が特徴です。
- 差がつくポイント：処理時間や電力消費などの「副次的な情報」を利用する点を理解し、他の攻撃手法（ソーシャルエンジニアリングや中間者攻撃など）と区別できることが重要です。
正解の理由
選択肢アは、暗号アルゴリズムを実装した物理デバイスから処理時間や消費電流、エラーメッセージなどの物理的な情報を取得し、そこから機密情報を推測する攻撃手法を正確に説明しています。これはサイドチャネル攻撃の定義に合致し、暗号の理論的な弱点ではなく実装上の副次的情報を狙う点が特徴です。
よくある誤解
サイドチャネル攻撃は単なる暗号解読ではなく、物理的な情報漏洩を利用する攻撃です。処理時間や電力消費を無視して暗号理論だけで判断すると誤解しやすいです。
解法ステップ
- 問題文の「サイドチャネル攻撃」の意味を確認する。
- 各選択肢の説明内容を「物理的情報の利用」かどうかで分類する。
- 処理時間や消費電流などの物理量を利用している選択肢を探す。
- それ以外の選択肢は別の攻撃手法（ソーシャルエンジニアリング、中間者攻撃、SQLインジェクション）であることを確認。
- 物理的情報を利用する選択肢アを正解と判断する。
選択肢別の誤答解説
- ア: 暗号実装の物理的情報を利用し機密情報を得るサイドチャネル攻撃の正しい説明。
- イ: これは「ゴミ漁り」と呼ばれるソーシャルエンジニアリングの一種であり、サイドチャネル攻撃ではない。
- ウ: これは「中間者攻撃（MITM）」の説明で、通信の盗聴や改ざんを行う手法である。
- エ: これは「SQLインジェクション」と呼ばれるWebアプリケーションの脆弱性を突く攻撃であり、サイドチャネル攻撃とは異なる。
補足コラム
サイドチャネル攻撃は、暗号理論の安全性を破るのではなく、実装の隙を突く攻撃です。代表的な手法には、処理時間解析攻撃（Timing Attack）、電力解析攻撃（Power Analysis Attack）、電磁波解析攻撃（EM Attack）などがあります。これらはハードウェアの設計やソフトウェアの実装で対策が求められます。
FAQ
Q: サイドチャネル攻撃はどのような情報を利用しますか？
A: 処理時間、消費電流、電磁波、エラーメッセージなどの物理的な副次情報を利用します。
A: 処理時間、消費電流、電磁波、エラーメッセージなどの物理的な副次情報を利用します。
Q: サイドチャネル攻撃と中間者攻撃の違いは何ですか？
A: サイドチャネル攻撃は物理的情報から機密を推測する攻撃で、中間者攻撃は通信経路に割り込んで情報を盗聴・改ざんする攻撃です。
A: サイドチャネル攻撃は物理的情報から機密を推測する攻撃で、中間者攻撃は通信経路に割り込んで情報を盗聴・改ざんする攻撃です。
関連キーワード: サイドチャネル攻撃, 処理時間解析, 電力解析, ソーシャルエンジニアリング, 中間者攻撃, SQLインジェクション