情報セキュリティ
基本情報技術者試験｜A社では全利用者に30日ごとのパスワード強制変更を課しているが、利用者が『Password01』『Passwor…
A社では全利用者に30日ごとのパスワード強制変更を課しているが、利用者が『Password01』『Password02』のように末尾の数字だけを増やして使い回し、かえって推測されやすいパスワードが定着している。近年のガイドラインも踏まえ、認証強度を高める運用見直しとして最も適切なものはどれか。
ア使える期間をさらに縮めるべく、強制変更の周期を15日ごとに前倒しする。
イ変更周期は据え置いたまま、求める最低文字数の要件だけを従来より2文字ぶん引き上げる。
ウ直前1世代と同一の文字列を再設定できないよう履歴照合を加え、他は現状を踏襲する。
エ周期での一律強制をやめ、漏えいの兆候がある利用者にのみ変更を求める方式とする。
正解
エ．周期での一律強制をやめ、漏えいの兆候がある利用者にのみ変更を求める方式とする。
問題の本質は『短周期の強制変更が末尾連番という規則的な使い回しを誘発している』点にある。近年のガイドラインは、漏えいの兆候がない限り定期強制変更を求めず、十分に長いパスフレーズや多要素認証で強度を確保し、漏えい検知時に変更させる運用を推奨する。利用者の悪い習慣を断ち、真の強度を高められる。
?選択肢ごとの解説
ア ×周期を15日へ短縮すると変更負担がさらに増し、連番化など安易な微変更を一層助長して推測されやすさが悪化する。
イ ×最低文字数を2文字増やしても、増やした分を固定文字で埋める運用になりやすく、強制変更が招く微変更癖そのものは正されない。
ウ ×直前1世代の禁止だけでは末尾数字を2つ進めるなどで容易に回避でき、規則的な微変更の根本問題は解消しない。
エ ○問題の本質は『短周期の強制変更が末尾連番という規則的な使い回しを誘発している』点にある。近年のガイドラインは、漏えいの兆候がない限り定期強制変更を求めず、十分に長いパスフレーズや多要素認証で強度を確保し、漏えい検知時に変更させる運用を推奨する。利用者の悪い習慣を断ち、真の強度を高められる。
情報セキュリティの他の問題
B社はスマートフォンのアプリが30秒ごとに更新する6桁の数値を表示し、その値で追加認証する時刻同期方式のワンタイムパスワード…C社は、サーバが毎回異なる文字列（チャレンジ）を提示し、利用者の機器がそれと秘密情報から応答（レスポンス）を計算して返すチャ…D社は、社内の複数の業務システムへ一度の認証でアクセスできるシングルサインオン（SSO）を導入する。利便性は高まる一方、認証…E社は、自社で管理する社員IDを使って外部のクラウドサービスへログインできるよう、SAMLによるフェデレーション認証を構成し…F社のWebサービスは、普段は国内の固定の場所と端末から利用される利用者が大半である。ある利用者のアカウントに、深夜に海外の…G社では、利用者のパスワードがフィッシングで窃取され不正ログインされる被害が続いている。対策として、端末内の生体センサで本人…H社の社内システムは、パスワードを3回連続で間違えるとアカウントを管理者が手動解除するまで無期限にロックする方針である。これ…I社の業務アプリは、データベースへ接続するためのIDとパスワードを、プログラムのソースコード中に文字列としてそのまま記述して…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0061