基本情報技術者試験「パスワードレス認証」の問題
G社では、利用者のパスワードがフィッシングで窃取され不正ログインされる被害が続いている。対策として、端末内の生体センサで本人確認し、公開鍵暗号を用いる規格（FIDO）によるパスワードレス認証の導入を検討している。この方式がフィッシングに強い理由として最も適切なものはどれか。
ア秘密鍵が端末の外へ出ず、利用者がサーバへ送り込む共有の秘密がそもそも存在しないから。
イ登録した生体情報をサーバ側で照合する方式のため、パスワードより複製されにくいから。
ウ利用者が桁数の多い複雑なパスワードを設定し、推測や総当たりを事実上封じるから。
エ認証のたびに使い捨ての数値が表示され、それを利用者が画面に打ち込むから。
正解
ア．秘密鍵が端末の外へ出ず、利用者がサーバへ送り込む共有の秘密がそもそも存在しないから。
FIDOによるパスワードレス認証は、端末内に保持した秘密鍵で署名し、サーバは登録済みの公開鍵で検証する。利用者がサーバへ入力・送信する『共有秘密（パスワード）』が存在せず、しかも署名対象に正規サイトの情報が結び付くため、偽サイトへ誘導して入力情報を盗むフィッシングが原理的に成立しない。これが強さの本質である。
?選択肢ごとの解説
ア ○FIDOによるパスワードレス認証は、端末内に保持した秘密鍵で署名し、サーバは登録済みの公開鍵で検証する。利用者がサーバへ入力・送信する『共有秘密（パスワード）』が存在せず、しかも署名対象に正規サイトの情報が結び付くため、偽サイトへ誘導して入力情報を盗むフィッシングが原理的に成立しない。これが強さの本質である。
イ ×FIDOでは生体情報は端末内での本人確認に使われ、サーバへ登録・送信されない。生体をサーバ照合する前提自体が誤りである。
ウ ×パスワードレス認証はそもそもパスワードを用いない方式であり、『長く複雑なパスワード』を設定するという説明は方式の理解として誤りである。
エ ×使い捨ての数値を画面入力するのはワンタイムパスワード方式の説明であり、公開鍵暗号を用いるFIDOの仕組みとは異なる。
✎くわしく
フィッシングの本質は『利用者に共有秘密を偽サイトへ入力させて盗む』ことである。FIDOは共有秘密を廃し、端末内秘密鍵による署名と正規オリジンへの束縛で、盗む対象も使い回す余地もなくす。生体は端末ローカルの本人確認に限定され外部へ出ない点も重要である。
✓本番での押さえどころ
試験のコツ
FIDO／パスワードレスのフィッシング耐性は『送る共有秘密がない＋正規サイトに束縛された署名』が要点。生体はローカル確認。
覚え方
打ち込む合言葉が無ければ、偽サイトに入力させようがない。鍵は端末から出ない。
よくある誤り
『生体情報をサーバで照合する』と誤解する。FIDOの生体はローカル確認用で、認証の核は公開鍵暗号による署名である。
情報セキュリティの他の問題
A社の経理担当者が、取引先を装ったメールに添付された請求書ファイルを業務PCで開いたところ、見慣れない画面が一瞬表示されて消…B社のWebサービスで、複数の利用者アカウントに対し正しいIDとパスワードの組合せによるログインが短時間に外部から成立する事…C社では、退職予定者や異動者のアカウント権限の見直しが滞り、業務上不要になった共有フォルダへのアクセス権が残り続けている。情…D社のファイルサーバがランサムウェアに感染し、業務ファイルが暗号化された。D社は日次でバックアップを取得しているが、バックア…E社の従業員に、取引先銀行を名乗る『口座情報の更新が必要』というメールが届いた。本文中のリンク先URLにアクセスすると、銀行…F社は社外の従業員が、カフェなどの公衆無線LANを利用して社内システムへアクセスしている。通信内容が経路上で第三者に盗聴・改…
この問題を、AIの8-ways解説つきで。
無料ではじめる →基本情報技術者試験の演習を、一問ごとに「なぜ」まで。まずは無料で。
ukamiru 過去問 · 基本情報技術者試験 · fe-b-sec-0067