オンラインショッピングサイトに接続したとき,ブラウザに SSL 鍵マークが表示された。さらに,サーバ証明書が,目的のオンラインショッピングサイトの運営者のものであることを確認した。このとき,次の a~c のうち,判断できるもの(○)と判断できないもの(×)の適切な組合せはどれか。 a アクセスしているショッピングサイト運営者の財務状況は安定している。 b アクセスしているショッピングサイトは偽のサイトではない。 c 利用者が入力した個人情報,注文情報を途中経路で盗み見られることはない。
平成22年度 秋期 ITパスポート試験 問80
这道题的解析和你的作答记录。
問80
頻出度★★★
解説
問 80
错误ア
错误在于把 a 判为 ○。服务器证书证明的是运营者的真实存在和对域名的所有权,对财务状况、经营状态、商品质量、配送是否可靠这类商业上的信用度不作任何保证。即使显示了锁标记,对方仍有可能是经营陷入困境的公司或不良商家,因此 a 是无法判断的。
- イ
正解 正确答案是 イ(a:× b:○ c:○)。从 SSL 锁标记和对服务器证书的确认中能够得知的,只有「对方是谁」和「通信是否受到保护」这两点。a 讲的是运营者的财务状况,但服务器证书中记载的是组织名称、域名、公钥、有效期以及签发方认证机构(CA)的签名等,并不包含财务信息。认证机构的审核也以确认组织的真实存在和域名所有权为主,并不保证经营是否健全,所以无法判断,为 ×。b 因为已经确认了证书属于目标购物网站的运营者,所以可以判断连接的对象正是它所声称的那一方,不是冒名的伪造网站,故为 ○。c 因为 SSL/TLS 会对浏览器与服务器之间的通信进行加密,即使个人信息和订单信息在传输途中被截获,其内容也无法被读取。因此可以判断不会被窃看,为 ○。综上,×・○・○ 的组合即 イ 是正确的。
错误ウ
错误在于把 c 判为 ×。SSL/TLS 的核心功能是通信加密,用户输入的个人信息和订单信息会被加密后发送,即使在传输途中被窃听也无法解读其内容。除了认证(确认对方身份)之外,通过加密防止窃听同样是 SSL 的职责,因此 c 应判为可以判断的 ○。
错误エ
错误在于把 b 判为 ×。既然已经确认了服务器证书属于目标购物网站的运营者,那么连接的对象就是证书上记载的那位运营者本人,可以判断它不是冒名的伪造网站。这正是被称为服务器认证的数字证书的主要目的本身,因此 b 应为 ○。
ここがポイント
- SSL/TLS 与服务器证书所保证的是三点:「服务器认证(连接对象就是证书上记载的运营者本人=不是伪造网站)」、「通信加密(防止在传输途中被窃听)」,再加上篡改检测。
- 数字证书只证明运营者的真实存在,对该企业的财务状况、经营的健全性、商品或服务的质量这类商业上的可信度不作任何保证。不要把「锁标记」直接等同于「安全的交易对象」,这正是本题的核心。
用語