平成24年度 春期 ITパスポート試験 問66

「a，b，c」は a と b に加えて c まで適切としているが、c は誤りなので不適切。c のようにログインパスワードへ十分な長さと複雑性をもたせる対策は、総当たり攻撃 (ブルートフォース攻撃) や辞書攻撃、他サイトから流出した認証情報を試すパスワードリスト攻撃に対しては確かに有効で、情報セキュリティの基本ではある。しかしフィッシングでは、利用者が本物と信じ込んだ偽サイトの入力欄に、自分の手でそのパスワードを打ち込んで送信してしまう。攻撃者は推測も解読もする必要がなく、送られてきた文字列をそのまま受け取るだけなので、パスワードが 20 文字であろうと記号混じりであろうと防御にはならない。設問はあくまで フィッシングへの対策として適切なもの を問うており、一般論としてよい習慣であることと、この攻撃に効くこととは別問題である。この取り違えが本問の最大の落とし穴で、イは最も選ばれやすい誤答といえる。

「a，c」は、適切な a を含む点は正しいものの、フィッシング対策として有効な b を外し、逆に効果のない c を含めている点で二重に誤っている。b は、暗証番号などの送信を促すメールについて、信頼できる相手からに見えても複数の手段で真偽を確認するというものである。送信元の表示は詐称でき、本文の体裁も本物から複製できるため、信頼できる相手からのものに見えるという理由で確認を省くことこそがフィッシングの被害に直結する。メールとは別の経路 (公式サイトやカード裏面に記載された電話番号など) で裏を取る行為は、なりすましを見破る典型的で有効な対策であり、除外してはならない。c が不適切である理由はイの解説のとおりで、パスワードの強度はフィッシングでは無力である。

「b，c」は、適切な b を含む点は正しいものの、フィッシング対策の要である a を外し、効果のない c を含めている点で誤りである。a の SSL 接続とサーバ証明書の確認は、偽サイトを見破るための最も直接的な手段である。フィッシングサイトは本物と見分けのつかない画面を作れるが、正規のドメイン名で正当なサーバ証明書を用意することはできないため、証明書に記された組織名やドメイン名を確認する、ブラウザの警告を無視しないといった習慣があれば、個人情報を入力する直前に偽物だと気づける。これを対策から除いてしまうと、偽サイトへ誘導された時点で被害を防ぐ手立てがなくなる。c が不適切である理由はイの解説のとおりで、長く複雑なパスワードは総当たり攻撃などには有効だが、利用者自身が偽サイトへ入力してしまうフィッシングには効果がない。