跳到正文

平成25年度 春期 ITパスポート試験 問100

这道题的解析和你的作答记录。

問100
頻出度★★★

N社はスポーツ用品の小売販売業者で,実店舗販売の他,インターネットのショッピングサイトを利用した通信販売も行っている。ショッピングサイトのサーバの運用は外部に委託しており,毎月,委託先からアクセスログの分析結果が報告されるので,この報告に基づき,サイトの運営や改善に当たっている。 ショッピングサイトのトップページから商品購入手続完了に至る経路は,図1のとおりであり,図1中の矢印はリンクの経路を示す。ここで,A~Fは矢印の元のページから先のページへのアクセス率である。例えば,トップページにアクセスした利用者のA%が商品紹介のページにアクセスし,商品紹介のページにアクセスした利用者のC%が購入手続のページにアクセスしていることを示している。また,トップページへの外部からのアクセス件数に対する購入手続完了の件数の割合をコンバージョン率といい,先月のコンバージョン率は5%であった。 N社では,ショッピングサイトの売上増加には,利用者が安心してショッピングができるような配慮が大切であると考え,利用者の信頼を得るための様々な方策を検討している。インターネットを通じた商品の購入を利用者が安心して行えるように,N社が実施する方策として,適切なものはどれか。

出典 平成25年度 春期 ITパスポート試験 問100
解説

問 100SSL/TLS 与数字证书(电子证书)的作用

  • ア

    正解 正确答案是ア。通过互联网收发地址、姓名、信用卡号等信息时,存在在通信途中被窃听或被篡改的危险。防止这种情况的标准机制就是利用 SSL/TLS 对通信进行加密,而作为其基础,服务器要事先取得由认证中心(CA)这一第三方机构颁发的数字证书(电子证书,即所谓的服务器证书)。用户的浏览器在连接到该网站时会验证这张证书,从而同时实现两件事。其一,是确认所连接的对象确实是 N 公司的网站。由于证书是第三方机构核实其真实存在之后才颁发的,因此可以与十分相似的假冒网站(冒充、钓鱼网站)区分开来。其二,是利用证书中包含的公钥安全地共享加密密钥,并对此后收发的数据进行加密。这样一来,在购买手续画面中输入的个人信息和卡号会以加密的状态在网络上传输,即使中途被截获也无法读取其内容。浏览器的地址栏以 https:// 开头并显示锁形标志,就表示这一保护正在发挥作用。从用户的角度看,自己的重要信息受到保护,而且能够确认对方是真实的网站,因此可以安心购买。所以,作为购物网站运营者实施的措施,ア是适当的。

  • 错误イ

    服务器的机型、操作系统的名称、所用软件、IP 地址这类系统构成信息,对攻击者来说可以原封不动地成为攻击的素材。只要知道操作系统和软件的名称与版本,就能从已经公布的漏洞中筛选出哪些可能对该网站奏效;只要知道 IP 地址,就能直接锁定端口扫描等攻击的对象。也就是说,这非但不能显示可靠性,反而是自己抬高了遭受攻击的风险。有关系统构成的信息没有必要对外发布,只公开必要的最小限度是信息安全的基本原则,这样做并不会带来安心感。

  • 错误ウ

    电子邮件如果不采取特别的措施,正文就会以明文的状态在传输路径上流动,并且经过许多台邮件服务器被保存下来,因此存在被窃听、或者因为收件地址输错而送达第三方的危险。把地址、姓名、信用卡号原样写进邮件里返送回去,是自己把最应当保护的信息放到危险场所的行为,即使目的是让用户确认内容也是不被允许的。输入内容的确认,在经过加密的 Web 确认画面上进行即可。另外,信用卡号即使是为了确认而显示,通常的处理方式也是只显示后 4 位、其余部分予以遮蔽(掩码处理)。

  • 错误エ

    个人信息保护法要求处理个人信息的经营者尽可能明确地限定利用目的,并在此基础上通知本人或者予以公布,同时要求明确公示受理投诉和查阅请求的咨询窗口。在隐私政策等文件中明示利用目的和咨询方法是一项义务,不予明示就违反了法律法规。而且从用户的立场来看,会陷入不知道自己的信息将被用于什么、遇到麻烦时该联系哪里的状态,因此非但不能消除不安,反而会把不安放大。所谓「为了不让用户产生不安而不予明示」,因果关系是颠倒的,因此是错误的。

ここがポイント
  • SSL/TLS 与数字证书(电子证书)的作用。使用由认证中心(CA)这一第三方机构颁发的服务器证书,可以同时实现确认通信对方是真实的(防冒充、防钓鱼)与对通信内容加密(防窃听、防篡改)。在需要输入个人信息和信用卡号的画面上,这是必备的措施,用户一方可以通过 https:// 和锁形标志来确认。
  • 判断一项措施能否赢得安心与信任的标准。朝着保护方向的做法(对通信加密、不公开系统构成信息、把个人信息的利用目的和咨询窗口明确写清楚)是正确的;而朝着暴露方向的做法(用明文邮件返送卡号、公开服务器机型和 IP 地址),以及放弃说明责任方向的做法(不明示利用目的),都可以判定为错误。
用語
解答問100ア
练这一题

作答记录