情報セキュリティ
基本情報技術者試験｜G社では、利用者のパスワードがフィッシングで窃取され不正ログインされる被害が続いている。対策として、端末内の生体…
G社では、利用者のパスワードがフィッシングで窃取され不正ログインされる被害が続いている。対策として、端末内の生体センサで本人確認し、公開鍵暗号を用いる規格（FIDO）によるパスワードレス認証の導入を検討している。この方式がフィッシングに強い理由として最も適切なものはどれか。
ア秘密鍵が端末の外へ出ず、利用者がサーバへ送り込む共有の秘密がそもそも存在しないから。
イ登録した生体情報をサーバ側で照合する方式のため、パスワードより複製されにくいから。
ウ利用者が桁数の多い複雑なパスワードを設定し、推測や総当たりを事実上封じるから。
エ認証のたびに使い捨ての数値が表示され、それを利用者が画面に打ち込むから。
正解
ア．秘密鍵が端末の外へ出ず、利用者がサーバへ送り込む共有の秘密がそもそも存在しないから。
FIDOによるパスワードレス認証は、端末内に保持した秘密鍵で署名し、サーバは登録済みの公開鍵で検証する。利用者がサーバへ入力・送信する『共有秘密（パスワード）』が存在せず、しかも署名対象に正規サイトの情報が結び付くため、偽サイトへ誘導して入力情報を盗むフィッシングが原理的に成立しない。これが強さの本質である。
?選択肢ごとの解説
ア ○FIDOによるパスワードレス認証は、端末内に保持した秘密鍵で署名し、サーバは登録済みの公開鍵で検証する。利用者がサーバへ入力・送信する『共有秘密（パスワード）』が存在せず、しかも署名対象に正規サイトの情報が結び付くため、偽サイトへ誘導して入力情報を盗むフィッシングが原理的に成立しない。これが強さの本質である。
イ ×FIDOでは生体情報は端末内での本人確認に使われ、サーバへ登録・送信されない。生体をサーバ照合する前提自体が誤りである。
ウ ×パスワードレス認証はそもそもパスワードを用いない方式であり、『長く複雑なパスワード』を設定するという説明は方式の理解として誤りである。
エ ×使い捨ての数値を画面入力するのはワンタイムパスワード方式の説明であり、公開鍵暗号を用いるFIDOの仕組みとは異なる。
情報セキュリティの他の問題
L社は、端末内の認証器を用いるFIDOによるパスワードレス認証を全社導入した。運用開始後、端末を紛失・故障した利用者がログイ…H社の社内システムは、パスワードを3回連続で間違えるとアカウントを管理者が手動解除するまで無期限にロックする方針である。これ…I社の業務アプリは、データベースへ接続するためのIDとパスワードを、プログラムのソースコード中に文字列としてそのまま記述して…J社はSSOを導入し、一度ログインすれば多数の業務システムに再認証なしでアクセスできる。共用エリアの端末で、ある社員がログイ…K社のスマートフォンアプリは、OpenID…A社では、新しい業務システムのアクセス権を利用者一人ひとりに個別に設定してきたが、利用者数が数百人規模に増え、似た職務の人に…B社では機密文書へのアクセスを役割だけで制御してきたが、同じ役割の社員でも『社内ネットワークからの接続時のみ』『勤務時間内の…C社では、利用者が必要な権限をシステム管理者へメールで直接依頼し、管理者が内容の妥当性を判断せずそのまま付与している。後日、…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0067