情報処理安全確保支援士 2022年 春期 午後1 問03

解答の論理構成

1. 【問題文】には
   “本人確認の構成要素は、身元確認と当人認証…したがって、Qサービスにおいては、表1のa時に身元確認を、表1のb時に当人認証を実施することになる。”
   とあります。
2. 身元確認は “登録する氏名・住所・生年月日等が正しいことを証明／確認すること” であり、登録作業そのものと結び付くため、表1で利用者の氏名などを登録する “アカウント作成” が該当します。
3. 当人認証は “認証の3要素のいずれかの照合で、その人が作業していることを示すこと” であり、実際にサービス利用の都度本人であることを確かめる工程なので、利用者IDとパスワードで本人を確認する “Qサービスへのログイン” が該当します。
4. よって
   • a＝“アカウント作成”（解答群イ）
   • b＝“Qサービスへのログイン”（解答群ア）
   となります。

誤りやすいポイント

• “当人認証＝パスワード入力”のイメージからabを逆に選択してしまう。
• 「身元確認＝本人確認全般」と広く捉え、ログイン時も含めてしまう。
• 表1に列挙された機能説明を読まずに語感だけで判断する。

FAQ

解答の論理構成

1. 【問題文引用】
   「銀行口座とのひも付け…利用者は、口座番号、キャッシュカードの数字4桁の暗証番号を入力する。」
   攻撃者が他人の口座を結び付けるには、この二つの情報を正しく入力できればよいと分かります。
2. 【問題文引用】
   「攻撃者が他人の氏名でアカウント作成を行い、①他人の銀行口座とのひも付けを行うリスク」
   つまり、攻撃者は①口座番号②四桁暗証番号を何らかの手段で入手し、ひも付け認証を通過します。
3. 想定手段は大別して次の二つです。
   • 漏えい・流出済みの認証情報をそのまま利用する。
   • フィッシングや詐欺電話などで利用者から認証情報を騙し取る。
   この二点が模範解答の
   「漏えいしている口座番号と暗証番号を悪用する方法」
   「口座番号と暗証番号をだまし取って聞き出し、悪用する方法」
   に対応します。

誤りやすいポイント

• 口座番号や暗証番号を「総当たり攻撃で推測する」と書くと、5回でロックされる仕様があるため現実的でないと判断され減点されやすいです。
• 暗証番号の変更・リセットを悪用するなど、銀行側の追加手続きを含む回答は設問の範囲（ひも付け時の入力画面）を超えてしまいます。
• 「生年月日を推測する」など氏名以外の登録情報を根拠にする回答は、ひも付け時に照合対象ではないため不適切です。

FAQ

解答の論理構成

1. 表2の項番1・2は、いずれも本人確認書類と容貌（顔）の突合を行う方式です。
   【問題文】
   「次の2点を用いた方法
   　　・a付き本人確認書類の画像
   　　・容貌の画像」
   「次の2点を用いた方法
   　　・c付き本人確認書類のICチップ情報
   　　・容貌の画像」
2. 容貌と突合できる書類とは、氏名や生年月日だけでなく“顔”を確認できるものでなければなりません。行政文書や犯収法規則でも「顔写真付き本人確認書類」という表現が用いられます。
3. したがって、cには「写真」を補い、「写真付き本人確認書類」とすることで、容貌の照合という要件を満たす説明になります。
4. 以上より、解答は「写真」です。

誤りやすいポイント

• 「顔写真」「顔」などと答え、原文の「付き本人確認書類」に合わなくなるケース。
• ICチップ情報があるため運転免許証やマイナンバーカードを想起し、書類名そのもの（例：マイナンバー）を記入してしまうミス。
• 頭に「顔」を付けて「顔写真」と解答し、設問条件（5字以内）と合っていても、問題文の語感との整合を欠くと採点で減点される恐れ。

FAQ

解答の論理構成

1. 【問題文】では
   “マイナンバーカード内のdでQサービスの申込用のデータにデジタル署名し”
   と記載されています。デジタル署名の作成には秘密鍵を用いるのが原則です。
   したがって d＝「秘密鍵」 となります。
2. 続けて
   “デジタル署名が利用者本人のものであり、改ざんされていないことをQサービスの利用者のeを用いて確認”
   とあります。署名検証は公開鍵で行うため e＝「公開鍵」 です。
3. 解答群との対応は
   ア：共通鍵／イ：公開鍵／ウ：秘密鍵
   なので
   d：ウ
   e：イ
   が正答です。

誤りやすいポイント

• 「公開鍵で署名し秘密鍵で検証する」と逆に覚えている受験者が少なくありません。公開鍵暗号方式の“暗号化”と“署名”を混同しないよう注意が必要です。
• マイナンバーカードの“署名用電子証明書”は公開鍵だけでなく対応する秘密鍵もカード内に格納されています。ここで使用する鍵はどちらかを迷いやすいので、処理工程（署名生成なのか検証なのか）を読解して判断する癖を付けましょう。
• 共通鍵は対称暗号で用いる鍵であり、公開鍵基盤の署名処理では登場しない点を忘れがちです。

FAQ

解答の論理構成

1. 問題文の該当記述
   • 「Qサービス側で、デジタル署名が利用者本人のものであり、改ざんされていないことをQサービスの利用者のeを用いて確認した後、地方公共団体情報システム機構にfを確認する。」
     ここから、eで署名検証した“後”に、発行主体である「地方公共団体情報システム機構」に問い合わせる対象がfであると分かります。
2. 署名検証後に行う確認内容
   • 署名検証だけでは、その電子証明書が「失効していないか」「有効期限内か」といった“現在使える状態”かどうかは分かりません。
   • 電子証明書の有効性を最終的に保証するには、発行者に失効情報（CRL, OCSP など）の照会が必須です。
3. 発行者が提供する情報
   • マイナンバーカードの署名用電子証明書の発行者は「地方公共団体情報システム機構」です。同機構に問い合わせる内容は「署名用電子証明書の失効の有無」または「署名用電子証明書の有効性」であると導けます。
4. よって、f に入る字句
   • 「署名用電子証明書の有効性」
   • または「署名用電子証明書の失効の有無」

誤りやすいポイント

• 署名検証と失効確認を混同し、「公開鍵の照合」などと書いてしまう。公開鍵は証明書に含まれており、検証フェーズで既に使用済みです。
• 問い合わせ先が「地方公共団体情報システム機構」であることから、別の公的機関（総務省や金融庁など）と誤記する。
• 「失効確認」＝「CRL取得」とだけ書き、具体的に“何を”確認するかを明示しない。

FAQ

解答の論理構成

1. 問題文には
   “Qアプリが毎回ランダムな数字を表示し、利用者がgして、直ちに送信することによって、L社では提出された画像が事前に準備されたものではないことを確認する”
   とあります。
2. ここで求められるのは「事前に準備した他人の画像」を防ぐための具体的行為です。
3. 画像が本当に“今”撮影されたことを示すには、ランダム数字が同じ画面上に写っている必要があります。スマートフォンのスクリーンショットではなく、手元で数字を書いた紙を一緒に撮影させれば、なりすましや過去画像の再利用が難しくなります。
4. さらに「容貌」と「本人確認書類」も同一フレーム内に収めることで “容貌の画像” と “本人確認書類の画像” が同一人物かつ同一時点であることを担保できます。
5. 以上から g に入れるべき具体的行為は
   “そのランダムな数字を紙に書き、その紙と一緒に容貌や本人確認書類を撮影”
   となります。

誤りやすいポイント

• スクリーンショットを撮るだけと誤解しやすい
  → スクリーンショットは過去に撮った画像を流用できるため防止策になりません。
• 「数字を読み上げる」「チャットに入力する」など音声・文字送信と勘違いしやすい
  → 問題文は“画像による確認”を前提としており、撮影行為が必須です。
• 「本人確認書類のみを撮影」として容貌を忘れるケース
  → 文中に“容貌の画像”と明記されているので本人の顔も必ず同一フレームに含めます。

FAQ

解答の論理構成

1. 問題文には、ログイン状態を1か月間保持する設定のまま「“②Qサービスにログインした状態で、スマートフォンの画面ロックを設定していないと、Qサービスが不正利用されることがある”」と明記されています。
2. 画面ロックが無い端末は、端末を手にした第三者がそのまま Qアプリを操作できるため、ログイン済みセッションを悪用できます。
3. 第三者が端末を手に入れる典型的な状況は「盗難」や「置き忘れ」です。盗難であれば悪意を持つ人物が即座に操作できるため不正利用の危険性が特に高いと判断できます。
4. 以上から、不正利用が発生する代表ケースとして「スマートフォンを盗まれた場合」とまとめるのが適切です。

誤りやすいポイント

• 「紛失」だけを書き、意図的な盗難というリスクを示せていない。
• 「他人に貸した場合」など利用実態と離れたシナリオを想定してしまう。
• 画面ロック未設定の原因（設定ミス等）を述べてしまい、いつ不正利用が起こるかを答えていない。

FAQ

解答の論理構成

• 本文では「ログインが成功した場合は、1か月間、ログイン状態を保持する」とあります。これは利便性を高める一方、端末の画面ロックが掛かっていない状態で放置されると不正利用の危険が高まります。実際に下線②で「Qサービスにログインした状態で、スマートフォンの画面ロックを設定していないと、Qサービスが不正利用されることがある」と危険性を明示しています。
• そこで下線③では「Qアプリに不正利用を防ぐための機能を追加」することが求められています。不正利用の原因は“端末が他人の手に渡ったときにアプリがそのまま操作できてしまう”ことですから、アプリ単独で再認証を行う仕組みを設ければリスクを低減できます。
• 具体策として、アプリ起動時に本人しか知り得ない情報（PIN）を毎回入力させれば、たとえ端末が他人の手に渡っても利用を阻止できます。
• 以上から、解答は「Qアプリの起動時に、PIN コードで利用者を認証する機能」となります。

誤りやすいポイント

• 端末側の「画面ロック設定」を答えてしまう：設問は「Qアプリに追加する機能」を問うているためOS設定の話ではない。
• 「SMS認証を再度行う」といった案：当人認証強化としては有効だが、頻繁にSMSを送るのはコスト・利便性が低下し、起動のたびに行う現実味が乏しい。
• 「自動ログアウト時間を短くする」と答える：1か月間ログイン状態を保持する方針が示されているので方針不一致となる。

FAQ