情報セキュリティ
基本情報技術者試験｜M社の社外向けポータルは、IDとパスワードに加えて『秘密の質問』への回答を求めている。しかし利用者の回答内容がS…
M社の社外向けポータルは、IDとパスワードに加えて『秘密の質問』への回答を求めている。しかし利用者の回答内容がSNSや過去の漏えい情報から推測される事例が起きている。認証の強度を実質的に高めるための見直しとして、最も適切なものはどれか。
ア秘密の質問を廃し、利用者の端末で動くアプリが生成する使い捨ての数列を追加で入力させる。
イ秘密の質問を一問から三問へ増やし、すべて正答した場合に限ってログインを許可する。
ウ秘密の質問の回答に記号や数字を必ず混ぜるよう利用者へ義務付け、文字列を複雑にする。
エパスワードの最低文字数を引き上げたうえで、一定の期間ごとに必ず変更させる運用を加える。
正解
ア．秘密の質問を廃し、利用者の端末で動くアプリが生成する使い捨ての数列を追加で入力させる。
認証要素は『知識・所持・生体』に分類され、異なる種類を組み合わせて初めて多要素認証となる。秘密の質問もパスワードも同じ知識要素であり重ねても強度は本質的に上がらない。端末のアプリが都度生成する使い捨ての数列は所持要素であり、推測情報だけでは突破できないため、認証強度を実質的に高められる。
?選択肢ごとの解説
ア ○認証要素は『知識・所持・生体』に分類され、異なる種類を組み合わせて初めて多要素認証となる。秘密の質問もパスワードも同じ知識要素であり重ねても強度は本質的に上がらない。端末のアプリが都度生成する使い捨ての数列は所持要素であり、推測情報だけでは突破できないため、認証強度を実質的に高められる。
イ ×質問を増やしても全て知識要素であり、推測される性質は変わらず、異なる要素の追加にならないため強度の本質的向上にならない。
ウ ×回答の文字種を複雑にしても、SNSや漏えい情報から推測される根本問題は残り、知識要素の弱点を解消できない。
エ ×パスワードの強化は既存の知識要素を強めるだけで、推測されやすい秘密の質問という別経路の弱点を補えない。
情報セキュリティの他の問題
N社の入退室用の指紋認証で、正規の社員が本人であるのに拒否されて入室できない苦情が多発している。一方で部外者が誤って受け入れ…O社のシステムは取引先の電子証明書を検証して通信相手を確認している。ある取引先で秘密鍵が漏えいし、証明書が有効期限内のまま失…P社のWebサーバは、古い利用者環境との互換のため、現在は安全でないとされる旧式の暗号方式（プロトコルや暗号スイート）での接…Q社では、機密ファイルを共通鍵で暗号化して保管している。ところが、暗号化に用いた鍵を記したファイルを、暗号化済みファイルと同…R社のWebサービスはパスワードをハッシュ化して保存しているが、攻撃者にデータベースが流出した際、同じパスワードを使う利用者…S社は業務データのバックアップを外部記憶媒体に取得し、災害に備えて遠隔地の保管施設へ運搬・保管している。運搬中の媒体の紛失・…T社は取引先から電子署名付きの注文書を受け取った。後日、取引先が『その注文は出していない』と否認し、また注文内容が途中で書き…U社では、取引先と機密性の高い内容をメールでやり取りする際、本文が経路上で盗み見られることと、送信者が偽装されることの両方を…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0037