問59
頻出度★★★
ログイン機能をもつ Web サイトに対する, パスワードの盗聴と総当たり攻撃へのそれぞれの対策の組合せとして, 最も適切なものはどれか。
平成31年度 春期 ITパスポート試験 問59
この問題の解説と、これまでの解答の記録です。
解説
問 59
不正解ア
盗聴対策の「暗号化された通信で送信」は正しいが、総当たり対策の「シングルサインオンを利用する」が誤り。シングルサインオンは一度の認証で複数サービスを使えるようにする利便性の仕組みであり、パスワードを次々試す総当たり攻撃を防ぐものではない。
- イ
正解 パスワードの盗聴 (通信の途中で内容を傍受されること) への対策は、通信そのものを暗号化してパスワードを送ることである。SSL/TLS で暗号化すれば、経路上で傍受されても内容を読み取られない。一方、総当たり攻撃 (パスワードを片端から試す攻撃) への対策は、パスワードの入力試行回数を制限する (一定回数失敗でアカウントをロックする) ことで、無制限な試行を封じられる。この二つを正しく組み合わせているのは イ だけなので、イ が正解。
不正解ウ
両方とも誤り。盗聴対策の「推測が難しい文字列をパスワードに設定」は、強いパスワードでも通信を傍受されれば内容が漏れるため盗聴対策にならない。総当たり対策の「シングルサインオン」も、試行回数を制限しないので総当たり攻撃を防げない。
不正解エ
総当たり対策の「入力試行回数を制限」は正しいが、盗聴対策の「推測が難しい文字列をパスワードに設定」が誤り。推測されにくい強固なパスワードは総当たりや推測には有効だが、通信の傍受 (盗聴) 自体は防げず、暗号化しなければ経路上で読み取られてしまう。
ここがポイント
- パスワードの盗聴 (通信傍受) への対策は通信の暗号化 (SSL/TLS)。パスワードを強くしても暗号化しなければ経路上で漏れる。
- 総当たり攻撃への対策は入力試行回数の制限 (アカウントロック)。シングルサインオンは利便性の仕組みで攻撃対策ではない。
用語