情報セキュリティ
基本情報技術者試験｜D社の社内システムは、長年ハッシュ計算に旧来のMD5を使っている。セキュリティ監査で『当該アルゴリズムは安全性が…
D社の社内システムは、長年ハッシュ計算に旧来のMD5を使っている。セキュリティ監査で『当該アルゴリズムは安全性が低下し、推奨リストから外れている』と指摘された。D社が取るべき対応として、最も適切なものはどれか。
ア運用実績が長く障害も出ていないため、現行アルゴリズムの利用を継続する。
イ同じアルゴリズムのまま、出力するハッシュ値の桁数を増やして運用する。
ウ電子政府推奨暗号リストに掲げられた方式へ計画的に置き換える。
エハッシュ値を二重に計算して連結し、見かけ上の長さを伸ばして使う。
正解
ウ．電子政府推奨暗号リストに掲げられた方式へ計画的に置き換える。
暗号アルゴリズムの危殆化とは、計算能力の向上や解析手法の進歩で安全性が低下することである。推奨リストから外れたMD5は衝突攻撃が現実的になっている。CRYPTRECの電子政府推奨暗号リストなど信頼できる基準で安全とされる方式へ計画的に置き換えるのが、根拠ある正しい対応である。
?選択肢ごとの解説
ア ×運用実績の長さは安全性を意味せず、危殆化したアルゴリズムを使い続けることは攻撃成立のリスクを放置するため不適切である。
イ ×アルゴリズム自体に欠陥がある場合、出力桁数を増やしても弱点は解消せず、安全性は本質的に向上しない。
ウ ○暗号アルゴリズムの危殆化とは、計算能力の向上や解析手法の進歩で安全性が低下することである。推奨リストから外れたMD5は衝突攻撃が現実的になっている。CRYPTRECの電子政府推奨暗号リストなど信頼できる基準で安全とされる方式へ計画的に置き換えるのが、根拠ある正しい対応である。
エ ×同一アルゴリズムを二重計算して連結しても元の弱い演算に依存したままで、衝突攻撃への耐性は本質的に改善しない。
情報セキュリティの他の問題
E社は、長期にわたり機密性を保つ必要がある契約データを公開鍵暗号で保護する設計を行っている。設計者は処理速度を優先して短い鍵…F社の決済システムでは、重要な秘密鍵をアプリケーションサーバのファイルとして保存しており、サーバ侵入時に鍵が窃取される懸念が…G社とH社は、それぞれ別の認証局が発行した電子証明書を社内で利用している。両社が相互に相手の証明書を信頼して安全に通信できる…I社は、自社開発のソフトウェアをインターネットで配布している。利用者から『ダウンロードしたファイルが本物か、改ざんされていな…J社の開発者が暗号鍵を生成する際、再現性を確保したいという理由で、固定の初期値を与えた疑似乱数で鍵を作っていた。生成された鍵…K社では、社内の各種システムへ管理者がリモートで接続して保守作業を行う。従来は暗号化されていない遠隔操作プロトコルを使ってお…L社では、データベースを暗号化して保存しているが、復号に使う暗号鍵を同じデータベースサーバ上の設定ファイルに平文で置いている…M社では、長期間にわたり同一の暗号鍵を交換せず使い続けており、万一その鍵が漏えいした場合、過去から将来までの全データが復号さ…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0148