問81
頻出度★★★
職場でのパスワードの取扱いに関する記述 a～d のうち, 適切なものだけを全て挙げたものはどれか。 a 業務で使用するパスワードをプライベートで Web サービスに利用する。 b 個人用パスワードはシステム管理者にも教えない。 c パスワードは定期的に変更するだけでなく, 第三者に知られた可能性がある場合にも変更する。 d 付与された初期パスワードは, 最初にログインしたときに変更する。
平成23年度 秋期 ITパスポート試験 問81
この問題の解説と、これまでの解答の記録です。
解説
問 81
不正解ア
b と c は適切だが、不適切な a を含めている点で誤り。a は業務で使用するパスワードをプライベートの Web サービスでも使うという、いわゆるパスワードの使い回しである。個人で利用する Web サービスは職場のシステムより管理水準が低いことが多く、そこから利用者 ID とパスワードの組が漏えいすると、攻撃者はその組を他のサイトでも試す (パスワードリスト攻撃)。結果として職場のシステムにまで不正アクセスが及ぶため、業務用と私用のパスワードは必ず別にするのが原則である。また、適切な d を落としている点でも「適切なものだけを全て」という条件を満たさない。
不正解イ
不適切な a を含んでいる時点で誤りである。加えて、適切な b (個人用パスワードはシステム管理者にも教えない) と d (初期パスワードは最初のログイン時に変更する) が抜けており、挙げられているのは c だけである。設問は適切なものを「だけを全て」挙げることを求めているので、不適切なものを混ぜることも、適切なものを取りこぼすことも許されない。
- ウ
正解 正解はウ。適切なのは b, c, d の三つである。b は、個人に割り当てられたパスワードは本人以外の誰にも教えないという大原則を述べたものである。システム管理者は利用者のパスワードを初期化・再設定する権限を持つので、本人のパスワードそのものを知る必要はない。むしろ本人しか知らない状態を保ってこそ「そのパスワードで行われた操作は本人の操作である」と言え、責任の追跡 (アカウンタビリティ) が成り立つ。管理者を名乗る者がパスワードを尋ねてくる場面はソーシャルエンジニアリングの典型でもあり、相手が誰であれ教えない運用が正しい。c は、定期的な変更だけに頼らず、第三者に知られた可能性が生じた時点でも直ちに変更するという運用である。パスワードの危険性は時間の経過だけでなく、覗き見・盗聴・フィッシング・サービス側の漏えいといった事象によって突然高まる。そのような兆候をつかんだら次の定期変更を待たずに変更することが、被害を未然に防ぐうえで不可欠である。d は、付与された初期パスワードを最初のログイン時に変更するという運用である。初期パスワードは発行した管理者に既知であり、通知メールや書面など本人以外の目に触れうる経路を通って渡るため、そのまま使い続ければ本人だけが知る秘密という前提が崩れる。最初のログインで本人しか知らない値に変更することで、初めて本人の認証情報として機能する。これに対し a だけが不適切なので、b, c, d を過不足なく挙げたウが答えとなる。
不正解エ
c と d はいずれも適切であり、不適切な a を含めていない点は正しい。しかし適切な b を落としているため「全て挙げた」ことにならない。b の「個人用パスワードはシステム管理者にも教えない」は、管理者であってもパスワードそのものを知る必要はなく (必要なら再設定すればよい)、本人だけが知る状態を保つことで本人の操作であることを保証できる、という認証の基本に沿った適切な記述である。管理者を装った問い合わせに答えてしまう事故を防ぐ意味でも重要で、除外してはならない。
ここがポイント
- パスワード管理の基本原則 — パスワードは本人だけが知る秘密であり、システム管理者を含む他人には教えない。管理者は再設定はできても本人のパスワードを知る必要はなく、本人しか知らない状態を保つことで「その操作は本人が行った」という責任追跡が成立する。管理者を名乗ってパスワードを聞き出す手口はソーシャルエンジニアリングの典型である。
- 使い回しの禁止と変更の契機 — 業務用パスワードを私的な Web サービスに使い回すと、そのサービスからの漏えいがパスワードリスト攻撃を通じて職場のシステムへの不正アクセスにつながる。また、変更は定期的に行うだけでなく、第三者に知られた可能性がある場合や、管理者から付与された初期パスワードを初回ログインで置き換える場合など、危殆化の契機ごとに行う必要がある。
用語