問81
頻出度★★★
職場でのパスワードの取扱いに関する記述 a～d のうち, 適切なものだけを全て挙げたものはどれか。 a 業務で使用するパスワードをプライベートで Web サービスに利用する。 b 個人用パスワードはシステム管理者にも教えない。 c パスワードは定期的に変更するだけでなく, 第三者に知られた可能性がある場合にも変更する。 d 付与された初期パスワードは, 最初にログインしたときに変更する。
平成23年度 秋期 ITパスポート試験 問81
这道题的解析和你的作答记录。
解説
問 81
错误ア
b 和 c 是恰当的，但把不恰当的 a 也包括进来这一点是错误的。a 说的是把业务中使用的口令也用于私人 Web 服务，即所谓的口令重复使用。个人使用的 Web 服务其管理水平往往低于职场的系统，一旦从那里泄露了用户 ID 与口令的组合，攻击者就会拿这一组合去其他网站逐一尝试（撞库攻击，即口令列表攻击）。其结果是非法访问会波及到职场的系统，因此业务用口令与私用口令必须分开，这是原则。此外，本项还漏掉了恰当的 d，在这一点上同样不满足「仅列举全部恰当者」这一条件。
错误イ
仅仅因为包含了不恰当的 a，本项就已经是错误的。此外，恰当的 b（个人用口令即使是系统管理员也不告知）和 d（对所授予的初始口令，在首次登录时进行变更）都被遗漏了，所列出的只有 c 一项。题目要求「仅列举全部」恰当者，因此既不允许混入不恰当者，也不允许遗漏恰当者。
- ウ
正解 正确答案是ウ。恰当的是 b、c、d 这三项。b 讲的是「分配给个人的口令不告诉本人以外的任何人」这一大原则。系统管理员拥有对用户口令进行初始化、重置的权限，因此并不需要知道本人的口令本身。反而只有保持只有本人知道的状态，才能说「用该口令所做的操作就是本人的操作」，责任追溯（问责性）才得以成立。有人自称管理员来询问口令，这也是社会工程学的典型手法，无论对方是谁都不告知才是正确的做法。c 讲的是不只依赖定期变更，一旦出现可能已被第三者知晓的情况就立即变更这一做法。口令的风险不仅随时间推移而上升，还会因偷看、窃听、网络钓鱼、服务方泄露等事件而突然升高。抓住这类征兆后不等下一次定期变更就立刻变更，对于防患于未然是不可或缺的。d 讲的是把所授予的初始口令在首次登录时变更这一做法。初始口令为发放它的管理员所知，而且是通过通知邮件、书面材料等本人以外的人也可能看到的途径交付的，若就这样继续使用，只有本人知道这一秘密的前提便不成立。在首次登录时改为只有本人知道的值，它才第一次真正作为本人的认证凭据发挥作用。与此相对，只有 a 不恰当，因此不多不少地列举出 b、c、d 的ウ就是答案。
错误エ
c 和 d 都是恰当的，没有把不恰当的 a 包括进来这一点也是正确的。但由于漏掉了恰当的 b，就不能算是「全部列举」。b 的「个人用口令即使是系统管理员也不告知」符合认证的基本原则：即使是管理员也不需要知道口令本身（有必要时重置即可），保持只有本人知道的状态才能保证该操作确实出自本人，因此它是一条恰当的叙述。为防止回答冒充管理员的询问而酿成事故，这一条也很重要，不可将其排除。
ここがポイント
- 口令管理的基本原则 —— 口令是只有本人知道的秘密，不告诉包括系统管理员在内的任何他人。管理员虽然可以重置口令，却不需要知道本人的口令；保持只有本人知道的状态，才能成立「该操作是本人所为」这一责任追溯。自称管理员来套取口令是社会工程学的典型手法。
- 禁止重复使用与变更的时机 —— 把业务用口令重复用于私人 Web 服务，一旦该服务发生泄露，就会通过撞库攻击（口令列表攻击）导致职场系统被非法访问。另外，变更不仅要定期进行，还必须在有可能被第三者知晓时、以及把管理员授予的初始口令在首次登录时替换掉等，在每一个出现泄露风险的时机都进行变更。
用語