情報セキュリティ
基本情報技術者試験「パスワードレス認証」の問題
G社では、利用者のパスワードがフィッシングで窃取され不正ログインされる被害が続いている。対策として、端末内の生体センサで本人確認し、公開鍵暗号を用いる規格（FIDO）によるパスワードレス認証の導入を検討している。この方式がフィッシングに強い理由として最も適切なものはどれか。
ア秘密鍵が端末の外へ出ず、利用者がサーバへ送り込む共有の秘密がそもそも存在しないから。
イ登録した生体情報をサーバ側で照合する方式のため、パスワードより複製されにくいから。
ウ利用者が桁数の多い複雑なパスワードを設定し、推測や総当たりを事実上封じるから。
エ認証のたびに使い捨ての数値が表示され、それを利用者が画面に打ち込むから。
正解
ア．秘密鍵が端末の外へ出ず、利用者がサーバへ送り込む共有の秘密がそもそも存在しないから。
FIDOによるパスワードレス認証は、端末内に保持した秘密鍵で署名し、サーバは登録済みの公開鍵で検証する。利用者がサーバへ入力・送信する『共有秘密（パスワード）』が存在せず、しかも署名対象に正規サイトの情報が結び付くため、偽サイトへ誘導して入力情報を盗むフィッシングが原理的に成立しない。これが強さの本質である。
?選択肢ごとの解説
ア ○FIDOによるパスワードレス認証は、端末内に保持した秘密鍵で署名し、サーバは登録済みの公開鍵で検証する。利用者がサーバへ入力・送信する『共有秘密（パスワード）』が存在せず、しかも署名対象に正規サイトの情報が結び付くため、偽サイトへ誘導して入力情報を盗むフィッシングが原理的に成立しない。これが強さの本質である。
イ ×FIDOでは生体情報は端末内での本人確認に使われ、サーバへ登録・送信されない。生体をサーバ照合する前提自体が誤りである。
ウ ×パスワードレス認証はそもそもパスワードを用いない方式であり、『長く複雑なパスワード』を設定するという説明は方式の理解として誤りである。
エ ×使い捨ての数値を画面入力するのはワンタイムパスワード方式の説明であり、公開鍵暗号を用いるFIDOの仕組みとは異なる。
情報セキュリティの他の問題
A社の経理担当者が、取引先を装ったメールに添付された請求書ファイルを業務PCで開いたところ、見慣れない画面が一瞬表示されて消…B社のWebサービスで、複数の利用者アカウントに対し正しいIDとパスワードの組合せによるログインが短時間に外部から成立する事…C社では、退職予定者や異動者のアカウント権限の見直しが滞り、業務上不要になった共有フォルダへのアクセス権が残り続けている。情…D社のファイルサーバがランサムウェアに感染し、業務ファイルが暗号化された。D社は日次でバックアップを取得しているが、バックア…E社の従業員に、取引先銀行を名乗る『口座情報の更新が必要』というメールが届いた。本文中のリンク先URLにアクセスすると、銀行…F社は社外の従業員が、カフェなどの公衆無線LANを利用して社内システムへアクセスしている。通信内容が経路上で第三者に盗聴・改…
この問題の「深掘り・誤答の完全解説・試験のコツ・覚え方」はアプリで。
無料ではじめる →基本情報技術者試験の全問を、一問ごとにAIの8-ways解説つきで。SRS暗記カード・全真模試・弱点診断まで。まずは無料で。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0067