問66
頻出度★★★
a～c のうち, フィッシングへの対策として, 適切なものだけを全て挙げたものはどれか。 a Web サイトなどで, 個人情報を入力する場合は, SSL 接続であること, 及びサーバ証明書が正当であることを確認する。 b キャッシュカード番号や暗証番号などの送信を促す電子メールが届いた場合は, それが取引銀行など信頼できる相手からのものであっても, 念のため, 複数の手段を用いて真偽を確認する。 c 電子商取引サイトのログインパスワードには十分な長さと複雑性をもたせる。
平成24年度 春期 ITパスポート試験 問66
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 66
- ア
正解 正确答案是ア「a，b」。钓鱼（phishing）是指冒充银行、电子商务网站、快递公司等真实存在的组织，用电子邮件或短信把用户引导到假冒网站，让用户本人亲手输入并发送 ID、密码、信用卡号、银行卡密码等秘密信息，从而骗取这些信息的攻击。攻击者并不是在技术上攻破系统，而是抓住「让用户误以为对方是真的」这一点下手。因此，有效的对策必须是确认眼前的对象（网站、邮件）是否为真的行为。按这个视角来判断 a~c。a 是在输入个人信息的场合，确认处于 SSL（HTTPS）连接、并且服务器证书合法有效的对策。服务器证书由可信赖的证书颁发机构（CA）签发，用于证明该网站的运营组织名称和域名。只要确认证书的内容，即使是做得和真网站一模一样的假冒网站，也会以域名与正规的不同、证书已失效、浏览器弹出警告等形式暴露出它是假的。也就是说，a 直接对应「确认对方是否为真」，是恰当的。b 是当收到催促发送银行卡号或密码等信息的电子邮件时，即使看起来来自交易银行等可信赖的对象，也要用多种手段确认真伪的对策。电子邮件的发件人姓名和地址很容易伪造，正文的版式和标识也能从真的那边复制过来，因此外观上的可信度不能作为依据。所以，不要用邮件正文里写的链接或电话号码，而要向存折、卡片背面、官方网站上自己查到的正规联系方式去咨询，用独立的另一条渠道来确认。这同样是「确认对方是否为真」，是恰当的（此外，金融机构通常不会通过邮件要求发送密码，这一常识也佐证了 b 的妥当性）。另一方面，c 的密码长度与复杂度，如后文所述是针对其他攻击的对策，对钓鱼不起作用。因此恰当的只有 a 和 b，正确答案是ア。
错误イ
「a，b，c」在 a 和 b 之外还把 c 也算作恰当的，但 c 是错的，所以不恰当。像 c 那样让登录密码具有足够的长度和复杂度的对策，对暴力破解攻击（穷举攻击）、字典攻击，以及用从其他网站泄露的认证信息去逐一尝试的撞库攻击确实有效，也是信息安全的基本功。但在钓鱼中，用户会在自己深信是真网站的假冒网站的输入框里，亲手打入这个密码并发送出去。攻击者既不需要猜测也不需要破解，只是原封不动地接收发过来的字符串而已，所以密码哪怕有 20 个字符、哪怕混有符号，也起不到防御作用。本题问的始终是「作为针对钓鱼的对策恰当的项」，「作为一般性做法是好习惯」和「对这种攻击有效」是两回事。这一混淆正是本题最大的陷阱，可以说イ是最容易被选中的错误答案。
错误ウ
「a，c」包含恰当的 a 这一点是对的，但它排除了作为钓鱼对策有效的 b，反而把没有效果的 c 包含了进来，因此是双重错误。b 是指对于催促发送密码等信息的电子邮件，即使看起来来自可信赖的对象，也要用多种手段确认真伪。发件人的显示可以伪造，正文的体例也能从真的那边复制过来，因此正是「因为看起来来自可信赖的对象就省去确认」这件事，会直接导致遭受钓鱼的损失。通过与邮件不同的渠道（官方网站或卡片背面标注的电话号码等）去核实，是识破冒充的典型且有效的对策，不应该把它排除在外。c 不恰当的理由与イ的解说相同，密码强度在钓鱼面前无能为力。
错误エ
「b，c」包含恰当的 b 这一点是对的，但它排除了作为钓鱼对策关键的 a，又包含了没有效果的 c，因此是错的。a 的确认 SSL 连接与服务器证书，是识破假冒网站最直接的手段。钓鱼网站虽然能做出与真网站无法分辨的页面，但无法用正规的域名准备出合法有效的服务器证书，因此只要养成确认证书上记载的组织名称和域名、不忽视浏览器警告的习惯，就能在输入个人信息之前察觉到它是假的。如果把这一条从对策中去掉，那么在被引导到假冒网站的那一刻，就没有任何办法防止损失了。c 不恰当的理由与イ的解说相同，长而复杂的密码对暴力破解攻击等有效，但对用户自己把信息输入到假冒网站的钓鱼没有效果。
ここがポイント
- 钓鱼的本质与对策的方向性 —— 钓鱼是冒充真实存在的组织，用假邮件、假网站引导用户，让本人亲手输入并发送秘密信息，从而骗取信息的攻击。它不是在技术上攻破系统，而是抓住让用户误认对方是真的这一点下手。因此有效的对策只限于确认对方是否为真的行为，确认 SSL（HTTPS）连接与服务器证书的合法有效性（a）、即使发件人看起来可信也要通过另一条渠道确认真伪（b），就是其代表例子。同时也要一并记住「金融机构不会通过邮件要求发送密码」这一前提。
- 对策与攻击的对应关系 —— 安全对策是否恰当，要看它对那种攻击是否有效来判断。密码的长度与复杂度（c）对暴力破解攻击、字典攻击、撞库攻击有效，但对用户自己把信息输入到假冒网站的钓鱼无能为力。同样，杀毒软件是针对恶意软件的、防火墙是针对来自外部的非法访问的——要按「攻击与对策的组合」来记忆；不要因为某种做法作为一般性习惯是好的，就立刻断定它是「恰当的对策」，这正是解开这类「列出全部恰当项」型题目的关键。
用語