情報処理安全確保支援士 2023年 秋期 午後 問02

解答の論理構成

1. Bサービスの利用条件を確認
   • 問題文では「従業員ごとに割り当てられた利用者IDとパスワードでログインし、利用する。」と明示されています。
   • さらに「M社の従業員に割り当てられた利用者IDでは、a1.b1.c1.d1 からだけ、Bサービスにログイン可能である。」とも記載されています。
2. 会話文での設問箇所を確認
   • S氏は「Bサービスにログインするにはaとbが必要です。」と発言しています。
3. 以上より、ログイン時に必須なのは「利用者ID」と「パスワード」であると論理的に導けます。

誤りやすいポイント

• 「a1.b1.c1.d1 という IP アドレス制限」を資格情報と誤認してしまう。IP 制限はアクセス元の条件であり、ログイン時に入力する情報ではありません。
• 多要素認証（MFA）と勘違いし「ワンタイムパスコード」などを書いてしまう。問題文にその実装は示されていません。
• 「企業メールアドレス」を ID と誤解するケース。本文では単に「利用者ID」とだけ記載されており、形式までは限定されていません。

FAQ

解答の論理構成

1. 問題の前提
   • 攻撃者は「DNSの設定を細工」し業務 PC を「偽サイト」に誘導します。
   • しかし S 氏は「従業員がHTTPSで偽サイトにアクセスしようとすると、安全な接続ではないという旨のエラーメッセージ…がWebブラウザに表示されます」と説明しています。
2. エラーの原因を整理
   ① 偽サイトは正式な証明書を取得していないか、取得していても偽装ドメイン用です。
   ② ブラウザは TLS ハンドシェイクの際に証明書を検証し、 • 信頼できる認証局（CA）の発行か
   • 証明書に記載された FQDN がアクセス先 URL と一致するか
   をチェックします。
3. 図2 に示す「エラーメッセージの詳細」との対応付け
   • 図2 には既に「このサーバ証明書は、失効している。」「このサーバ証明書は、有効期限が切れている。」の2行が具体例として掲載されています。
   • これらと同列に入るべき残り2行は、上記 ② の検証失敗を示す内容になります。
     • CA 不信頼 → ブラウザは「信頼された認証局から発行されたサーバ証明書ではない」と警告。
     • 名前不一致 → ブラウザは「証明書に記載されているサーバ名は、接続先のサーバ名と異なる」と警告。
4. よって図2 の c、d に入る文は
   • 「このサーバ証明書は、信頼された認証局から発行されたサーバ証明書ではない」
   • 「このサーバ証明書に記載されているサーバ名は、接続先のサーバ名と異なる」
     となります。

誤りやすいポイント

• ブラウザ警告で頻出する「自己署名証明書」と「信頼されていない認証局」を混同する。自己署名も結局は “信頼された CA でない” という同じ理由で失敗します。
• FQDN の不一致を IP アドレスの不一致と誤解する。警告対象は証明書の Common Name／SAN と URL のホスト名です。
• 「失効」「期限切れ」の2行が既に図2 にあり、同じ内容を重複して書いてしまう。

FAQ

解答の論理構成

1. まず問題文は、Bサービスについて「HTTP Strict Transport Security (HSTS) を有効にしている」と明記しています。
2. HSTS が有効なサイトに対しブラウザが http:// でアクセスすると、ブラウザは自動で HTTPS へリダイレクトします。
3. 文中で S 氏は「HSTSを有効にしてあるので、その場合でも、①先ほどと同じエラーメッセージが表示されます」と説明しています。
4. エラーメッセージは偽サイトが提示した不正なサーバ証明書を検証した結果表示されるものです。
5. したがって「エラーメッセージが表示される直前までの動き」は、 (1) ブラウザが HTTP 要求を HTTPS に置き換えて送信
   (2) 偽サイトからサーバ証明書を受信
   ─ という 2 段階であると論理的に導けます。

誤りやすいポイント

• HSTS の働きを「リダイレクトでなく警告表示」と混同しやすい。実際は HTTPS へ強制的に切替えた後で証明書検証を行います。
• 「ブラウザが証明書を検証する前に警告が出る」と勘違いしがち。警告は受信・検証後です。
• HTTP→HTTPS の変換をサーバ側の 301/302 だと思い込みやすいが、HSTS ではブラウザ内部処理で行われます。

FAQ

解答の論理構成

• 前提条件
  • 問題文には「従業員がM社以外の者と業務用のファイルを共有するには、Bサービス上で、共有したいファイルの指定、外部の共有者のメールアドレスの入力及び上長承認申請を行い、上長が承認する」とあります。
  • 承認後は「指定されたファイルの外部との共有用URL（外部共有リンクという）が発行され、外部の共有者宛てに電子メールで自動的に送信」され、「外部共有リンクは、本人及び上長には知られない」と規定されています。
• 悪用の着眼点
  • 外部共有リンクは「外部の共有者宛て」に送信されるため、メールアドレス欄に自分の私用アドレスを入力すれば、その私用アドレス宛てにリンクが届きます。
  • 届いたリンクは「Bサービスにログインせずにファイルをダウンロード可能」であるため、社外からでも取得できます。
• 具体的手順
  1. 共有対象ファイルを選択。
  2. 「外部の共有者のメールアドレス」に自分の私用メールアドレスを入力。
  3. 上長承認を得る（形骸化している場合もある）。
  4. 私用メールアドレスで受信した外部共有リンクを社外環境で開きダウンロード。
• 以上より、設問の答えは「外部共有者のメールアドレスに自身の私用メールアドレスを指定する」となります。

誤りやすいポイント

• 「外部共有リンクは本人には知られない」と読んで、従業員がリンクを受け取れないと早合点してしまう。実際には「外部の共有者」欄に自分を指定すれば受信できる点を見逃しやすいです。
• Bサービスのログイン制御に意識を取られ、外部共有リンクが「ログイン不要」でダウンロードできる仕様を見落とすケース。
• 上長承認があるから安全と考え、入力されたメールアドレスの妥当性チェックが運用に依存している点を軽視しがちです。

FAQ

解答の論理構成

1. 方法1の説明
   本文には「方法1：個人所有PCの無線LANインタフェースのeを業務PCの無線LANインタフェースのeに変更した上で、個人所有PCを従業員用無線LANに接続し」とあります。
2. 従業員用無線LANの接続条件
   表1の AP‐1〜5 の記述に「従業員用無線LANだけにMACアドレスフィルタリングが設定されており、事前に情報システム部で登録された業務PCだけが接続できる。」と明記されています。
3. 推論
   ・従業員用無線LANに“業務PCだけ”を接続可能にしている鍵となる情報は “MACアドレス” です。
   ・したがって個人所有PCが接続するには、業務PCの無線LANインタフェースと同じ “MACアドレス” を偽装する必要があります。
4. 結論
   上記より、e に入る語は「MACアドレス」です。

誤りやすいポイント

• SSID や WPA2-PSK を変更すると誤答しやすい
  → これらは誰でも取得できる情報で、フィルタリングの判定材料ではありません。
• IPアドレスと混同する
  → DHCP で自動割当されるため、事前登録制限には使われていません。
• 無線LANカードの物理交換と混同
  → 問題文は「変更」と明示しており、論理値である MACアドレスの書換えを示唆しています。

FAQ

解答の論理構成

1. 【問題文】には、方法1への対策として「従業員用無線LANの認証方式としてEAP-TLSを選択し、③認証サーバを用意する」とあります。
2. IEEE 802.1X 無線LANでは、 • 端末―AP 間：EAPOL（Ethernetフレーム）
   • AP―認証サーバ間：UDP上のAAAプロトコル
   という二段構えでEAPメッセージを中継します。
3. AP と ③認証サーバ の通信に使われる UDP上のAAAプロトコルは「RADIUS」です。
4. したがって設問「認証サーバがEAPで使うUDP上のプロトコル」に対する解答は
   RADIUS となります。

誤りやすいポイント

• 「EAP＝プロトコル名だからそのままEAPを答える」と誤解する。EAP自体はカプセル化対象であり、UDPで直接運ばれません。
• 「EAPOL」「TLS」を選んでしまう。EAPOLはイーサネット直結区間のみ、TLSはEAPメソッドの一部でありUDP上ではありません。
• AAAプロトコルのもう一つの選択肢「TACACS+」と混同する。IEEE 802.1Xの標準はRADIUSです。

FAQ

解答の論理構成

1. 利用シーンの特定
   本文には
   「クライアント証明書とそれに対応するfは、どのようにしますか。」
   とあり、fはクライアント証明書と対になる要素を示しています。
2. 公開鍵基盤（PKI）の知識を適用
   クライアント証明書は公開鍵を含む証明書であり、対になるのはその公開鍵に対応する秘密鍵です。
3. 格納場所のヒント
   続く発言で
   「fはgしておくために業務PCのTPMに格納し、保護します。」
   と述べられています。TPMは秘密鍵を安全に保管するために利用されるハードウェアなので、ここでもfが秘密鍵であることが裏付けられます。
4. 結論
   以上より、fに入る適切な字句は「秘密鍵」です。

誤りやすいポイント

• 「公開鍵」と混同する
  クライアント証明書には公開鍵が含まれるため、対になる要素を勘違いしやすいです。
• 「パスフレーズ」と誤解する
  秘密鍵を保護するためにパスフレーズを設定する場合がありますが、本文が問うているのは鍵そのものです。
• TPMの機能を過小評価する
  TPMは証明書よりも秘密鍵の安全保管が主目的である点を見落とすと選択を誤ります。

FAQ

解答の論理構成

1. 文中の該当部分を確認
   ――「クライアント証明書とそれに対応するfは、どのようにしますか。」
   ――「fはgしておくために業務PCのTPMに格納し、保護します。」
   ここで f はクライアント証明書に“対応する”もの、すなわち秘密鍵です。
2. TPM に格納する目的を整理
   先に「業務PC」は「TPM (Trusted Platform Module) 2.0を搭載している」とあり、TPM を用いた代表的な保護目的は秘密鍵の“非移出性（un-exportable）”確保です。
3. したがって g に求められるのは「秘密鍵を PC 外に持ち出せなくする」という意味の語句となる。
4. 「業務PCから取り出せないように」と記述することで、 ・TPM に格納する目的
   ・秘密鍵の非移出性
   を同時に表現でき、設問趣旨を満たす。
5. 以上より解答は
   g：業務PCから取り出せないように

誤りやすいポイント

• 「暗号化しておく」「パスワードで保護する」など“保護手段”を書いてしまう。設問は目的を問うており、“取り出せないように”が本質です。
• TPM の役割を「暗号化チップ」とだけ捉え、非移出性を見落とす。
• 「社外へ持ち出せないように」とすると秘密鍵ではなくファイル全体の持出し対策と誤解される恐れがあります。

FAQ

解答の論理構成

1. 方法1では、個人所有PCが「業務PCの無線LANインタフェースのeを…変更」して従業員用無線LANへ侵入しようとします。
2. 対策として「従業員用無線LANの認証方式としてEAP-TLSを選択」し、「③認証サーバ」を用意すると決定しています。EAP-TLSは端末側に
   ・「クライアント証明書」
   ・対応する「f（＝プライベートキー）」
   がそろわなければ認証に成功しません。
3. 会話では「クライアント証明書は…ディレクトリサーバの機能で業務PCに格納します」「fはgしておくために業務PCのTPMに格納」と規定し、S氏が「④その格納方法であれば問題ない」と評価しています。
4. TPMは秘密鍵を物理チップ内に閉じ込め、抽出やコピーを不可能にします。したがってクライアント証明書と秘密鍵は「業務PCにしか格納できず」個人所有PCへは移せません。
5. よって EAP-TLS 認証に必要な情報が業務PC専用となり、MACアドレスを偽装しても個人所有PCは接続できないため、設問の理由は
   『EAP-TLSに必要な認証情報は、業務PCにしか格納できないから』
   となります。

誤りやすいポイント

• 「証明書さえコピーしなければ安全」と誤解し、秘密鍵の保護を軽視する。TPMで鍵を外部搬出不能にしてこそ効果があります。
• EAP-TLS導入だけで万全と考え、配布経路（ディレクトリサーバ経由）を確認しない。誤配布は脆弱化につながります。
• MACアドレスフィルタリングと混同し、認証情報が漏れてもフィルタで防げると思い込む。MACは容易に偽装可能です。

FAQ

解答の論理構成

1. Bサービスは社外アクセスを厳しく制限しています。問題文には
   ――「M社の従業員に割り当てられた利用者IDでは、a1.b1.c1.d1からだけ、Bサービスにログイン可能である。」
   と明記されています。
2. ところが表4のNAT設定(項番1)では、来客用無線LANが属する「192.168.10.0/24」がインターネットへ出るとき、 「送信元 IP アドレスが a1, b1, c1, d1 に変換される」
   仕組みです。
3. 従業員が個人所有PCを来客用無線LANに接続する(方法2)と、個人所有PCの通信も同じグローバルIP「a1.b1.c1.d1」へ変換され、Bサービスのアクセス元制限にひっかからずダウンロードが可能になります。
4. したがって対策⑤は「来客用無線LANだけ別のIPでNATする」ことです。これにより外部からは送信元が「a1.b1.c1.d1」ではなくなるため、Bサービスの制限によりログイン不可となります。
5. 以上より模範解答「来客用無線LANからインターネットにアクセスする場合の送信元IPアドレスをa1.b1.c1.d1とは別のIPアドレスにする。」が導かれます。

誤りやすいポイント

• 「NATを無効化する」と勘違いしがちですが、無効化すると通信自体が出来なくなる恐れがあります。狙いは“無効化”ではなく“別アドレスへの変換”です。
• VLAN20(従業員用)とVLAN10(来客用)を取り違えやすいので注意しましょう。Bサービスへの不正持出しに関係するのは来客用無線LAN(VLAN10)です。
• 「FWのフィルタリングで遮断すればよい」と考えがちですが、HTTPSを利用しているためポート単位の遮断では業務影響が大きく、IPアドレス制御が最適です。

FAQ

解答の論理構成

1. 【問題文】では、来客用無線LANを刷新するために「Dルータでは、DHCPサーバ機能及びDNSキャッシュサーバ機能を有効にする」とあります。
2. さらに「来客持込端末は、M社のネットワークを経由せずに、Dルータに搭載されているSIMを用いてDサービスを利用し、インターネットに接続する」と明記されています。
3. したがって、従来は来客持込端末が社内の「DHCPサーバ」および「DNSサーバ」（表1「DNSサーバ」の説明より）へ問い合わせを行っていましたが、新構成では Dルータが両機能を肩代わりします。
4. このため「今まで必要だった、来客持込端末からDHCPサーバとhサーバへの通信は、不要になる。」の h には、DHCPと対になる名前解決機能の「DNS」が入るのが論理的帰結です。

誤りやすいポイント

• 「DNSキャッシュサーバ機能」と「DNSサーバ機能」を混同し、別物と考えてしまう。いずれも名前解決を行うため DNS で括れる点に注意が必要です。
• Dルータ導入後も NAT だけ変更すればよいと思い込み、社内「DNSサーバ」への依存が残ると誤判断するケース。
• 来客用と従業員用の VLAN が引き続き併用されると誤読し、「DNS」ではなく「NTP」など別サービスと答えるミス。

FAQ

解答の論理構成

1. 来客用無線 LAN を社内ネットワークから切り離す
   • 本文には「来客持込端末は、M社のネットワークを経由せずに、Dルータに搭載されているSIMを用いてDサービスを利用し、インターネットに接続する。」とあります。
   • したがって、社内 VLAN「192.168.10.0/24」を来客が使う場面はなくなります。
2. VLAN10 に関係する FW のインタフェース設定は不要
   • 表3 の行「VLAN10」「192.168.10.1」は来客用無線 LAN 用です。
   • ゆえに「表3：1」を削除します。
3. VLAN10 に関係するフィルタリングルールも不要
   • 表4 の「項番 1」は送信元「192.168.10.0/24」を Internet に出すルール、 「項番 4」は送信元「192.168.10.0/24」を DNS サーバ（192.168.30.0/24）に通すルールです。
   • どちらも Dルータ経由の運用に変わったため不要になり、削除対象は「表4：1、4」です。

誤りやすいポイント

• 送信元が「192.168.10.0/24」かどうかだけでなく、宛先やサービスを見てしまい判断を迷う。削除条件は「来客用 VLAN の全廃」であり、サービス種別は関係ありません。
• 「項番 3」は DNS を含むので消すべきと誤解する受験者がいますが、送信元が「192.168.30.0/24」でありサーバネットワーク用なので残します。
• 表3 の「WAN-IF1」を誤って削除対象にしてしまうミス。インターネット接続自体は存続するので不可。

FAQ