問55
頻出度★★★
ワンタイムパスワードに関する記述中の a，b に入れる字句の適切な組合せはどれか。 利用者は，トークンと呼ばれる装置などを用いて生成された [ a ] のパスワードを使って認証を受ける。このパスワードをワンタイムパスワードと呼び，これを利用することで，パスワードの漏えいによる [ b ] のリスクを低減することができる。
平成27年度 秋期 ITパスポート試験 問55
この問題の解説と、これまでの解答の記録です。
解説
問 55
不正解ア
a=固定 が誤り。ワンタイムパスワードは一回限りの「使い捨て」であり、固定 (毎回同じで再利用できる) パスワードとは正反対の性質である。b=DoS攻撃 も誤りで、DoS攻撃はサービスを過負荷で妨害する攻撃であり、パスワードの漏えいとは無関係でワンタイムパスワードでは低減できない。
不正解イ
b=なりすまし は正しいが、a=固定 が誤り。トークンが生成するワンタイムパスワードは認証ごとに変わる「使い捨て」であって、固定のパスワードではない。
不正解ウ
a=使い捨て は正しいが、b=DoS攻撃 が誤り。パスワードの漏えいが結び付くリスクは「なりすまし」であり、DoS攻撃 (サービス妨害) はパスワードの漏えいとは関係しないため、ワンタイムパスワードでは軽減できない。
- エ
正解 正解はエ (a=使い捨て / b=なりすまし)。ワンタイムパスワードは、トークンなどで認証のたびに生成され、一度使うと無効になる「使い捨て」のパスワードである。そのため a には「使い捨て」が入る。仮にこのパスワードが漏えいしても、すでに使用済み (または有効期限切れ) で再利用できないため、攻撃者が盗んだパスワードで正規利用者になりすまして認証を通ることを防げる。したがって b には「なりすまし」が入り、なりすましのリスクを低減できる。
ここがポイント
- ワンタイムパスワードは、トークンなどで認証のたびに生成され一度で無効になる「使い捨て」のパスワードで、盗聴・漏えいしても再利用できない。
- 漏えいしたパスワードを悪用した「なりすまし」のリスクを低減できる。DoS攻撃 (サービス妨害) はパスワード漏えいとは無関係で、対策にはならない。
用語