本文へスキップ

平成25年度 春期 ITパスポート試験 問100

この問題の解説と、これまでの解答の記録です。

問100
頻出度★★★

N社はスポーツ用品の小売販売業者で,実店舗販売の他,インターネットのショッピングサイトを利用した通信販売も行っている。ショッピングサイトのサーバの運用は外部に委託しており,毎月,委託先からアクセスログの分析結果が報告されるので,この報告に基づき,サイトの運営や改善に当たっている。 ショッピングサイトのトップページから商品購入手続完了に至る経路は,図1のとおりであり,図1中の矢印はリンクの経路を示す。ここで,A~Fは矢印の元のページから先のページへのアクセス率である。例えば,トップページにアクセスした利用者のA%が商品紹介のページにアクセスし,商品紹介のページにアクセスした利用者のC%が購入手続のページにアクセスしていることを示している。また,トップページへの外部からのアクセス件数に対する購入手続完了の件数の割合をコンバージョン率といい,先月のコンバージョン率は5%であった。 N社では,ショッピングサイトの売上増加には,利用者が安心してショッピングができるような配慮が大切であると考え,利用者の信頼を得るための様々な方策を検討している。インターネットを通じた商品の購入を利用者が安心して行えるように,N社が実施する方策として,適切なものはどれか。

出典 平成25年度 春期 ITパスポート試験 問100
解説

問 100SSL/TLS と電子証明書 (デジタル証明書) の役割

  • ア

    正解 正解はア。インターネットを通じて住所・氏名・クレジットカード番号などをやり取りするときは、通信経路の途中で盗聴されたり改ざんされたりする危険がある。これを防ぐ標準的な仕組みが SSL/TLS による通信の暗号化であり、その土台として、サーバはあらかじめ認証局 (CA) という第三者機関が発行した電子証明書 (デジタル証明書、いわゆるサーバ証明書) を取得しておく。利用者のブラウザはサイトに接続した時点でこの証明書を検証し、二つのことを同時に実現する。一つは、接続先が確かに N 社のサイトであることの確認である。第三者機関が実在を確認したうえで発行した証明書なので、よく似た偽サイト (なりすまし、フィッシングサイト) との区別がつく。もう一つは、証明書に含まれる公開鍵を使って安全に暗号鍵を共有し、以降に送受信されるデータを暗号化することである。この結果、購入手続画面で入力された個人情報やカード番号は暗号化された状態でネットワークを流れるため、途中で傍受されても内容を読み取られない。ブラウザのアドレスバーが https:// で始まり鍵のマークが表示されるのは、この保護がはたらいている状態を示す。利用者から見れば、自分の大切な情報が守られ、かつ相手が本物であることを確認できるので安心して購入できる。よって、ショッピングサイト運営者が実施する方策としてアが適切である。

  • 不正解イ

    サーバの機種、OS の名前、利用ソフトウェア、IP アドレスといったシステム構成の情報は、攻撃者にとってそのまま攻撃の材料になる。OS やソフトウェアの名前とバージョンが分かれば、すでに公表されている脆弱性のうちどれがそのサイトに通用しそうかを絞り込めるし、IP アドレスが分かればポートスキャンなどを仕掛ける相手を直接特定できる。つまりこれは信頼性を示すどころか、攻撃を受ける危険を自ら高める行為である。システム構成に関する情報は外部に出す必要が無く、必要最小限しか公開しないのが情報セキュリティの基本であり、安心にはつながらない。

  • 不正解ウ

    電子メールは、特別な対策をとらないかぎり本文が平文のまま経路を流れ、いくつものメールサーバを経由して保存されていくため、盗聴されたり、宛先の打ち間違いで第三者に届いたりする危険がある。そこに住所・氏名・クレジットカード番号をそのまま載せて返送することは、最も守るべき情報を自ら危険な場所に置く行為であり、たとえ内容確認という目的があっても許されない。入力内容の確認は、暗号化された Web の確認画面上で行えばよい。またカード番号は、確認のために表示する場合でも下 4 桁だけを見せて残りを伏せる (マスキングする) のが一般的な扱いである。

  • 不正解エ

    個人情報保護法は、個人情報を扱う事業者に対して、利用目的をできるかぎり特定したうえで本人に通知または公表すること、および苦情や開示の求めを受け付ける問合せ窓口を明らかにすることを求めている。プライバシーポリシーなどで利用目的や問合せ方法を明示するのは義務であり、明示しないことは法令に反する。しかも利用者の立場からすれば、自分の情報が何に使われるのか、困ったときにどこへ連絡すればよいのかが分からない状態になるので、不安を取り除くどころかかえって不安を大きくする。不安を与えないために明示しないという因果が逆転しており、誤りである。

ここがポイント
  • SSL/TLS と電子証明書 (デジタル証明書) の役割。認証局 (CA) という第三者機関が発行したサーバ証明書を用いることで、通信相手が本物であることの確認 (なりすまし・フィッシング対策) と、通信内容の暗号化 (盗聴・改ざん対策) を同時に実現する。個人情報やクレジットカード番号を入力させる画面では必須の対策であり、利用者側は https:// と鍵マークで確認できる。
  • 安心・信頼を得る方策かどうかの判断軸。守る方向 (通信を暗号化する、システム構成情報は公開しない、個人情報の利用目的と問合せ先はきちんと明示する) は正しく、さらす方向 (平文メールでカード番号を返送する、サーバの機種や IP アドレスを公開する) や、説明責任を放棄する方向 (利用目的を明示しない) は誤りと判断してよい。
用語

解答の記録