平成29年度 春期 午前Ⅱ 問11
攻撃手法
MITBに関する問題
インターネットバンキングの利用時に被害をもたらす MITB（Man-in-the-Browser）攻撃に有効な対策はどれか。
- アインターネットバンキングでの送金時に Web ブラウザで利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
- イインターネットバンキングでの送金時に接続する Web サイトの正当性を確認できるよう，EV SSL サーバ証明書を採用する。
- ウインターネットバンキングでのログイン認証において，一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを用意する。
- エインターネットバンキング利用時の通信を SSL ではなく TLS を利用して暗号化する。
答えと解説を見る
✓ これが正解アインターネットバンキングでの送金時に Web ブラウザで利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
解説
送金内容そのものを検証するトランザクション署名が有効です。
MITB 攻撃では、PC に潜んだマルウェアが Web ブラウザの中で送金の内容を書き換えます。接続先は本物の銀行のサイトで、ログインも正規に行われ、通信も暗号化されています。書き換えはその内側、つまりブラウザの中で起きるため、外側の守りだけでは防げません。有効なのは、利用者が入力した取引内容と、金融機関が受け取った内容が一致しているかを、ブラウザとは別の経路で確かめる方法です。トランザクション署名はこの確認を行う仕組みなので、MITB 攻撃への対策になります。
ほかの選択肢はなぜ違うのか
- イインターネットバンキングでの送金時に接続…：EV SSL サーバ証明書は、接続しているサイトが本物かどうかを確かめやすくするものです。偽サイトへ誘導するフィッシングには役立ちますが、本物のサイトにつないだまま内容を書き換えられる攻撃には効きません。
- ウインターネットバンキングでのログイン認証…：ワンタイムパスワードはログインの時点で本人を確かめる仕組みです。ログインが済んだ後に送金先や金額を書き換えられると、パスワードを使い捨てにしても被害は防げません。守る時点がずれています。
- エインターネットバンキング利用時の通信を …：通信を SSL から TLS に切り替えても、守られるのは PC と金融機関の間の通信路だけです。書き換えは暗号化される前の段階で起きるので、暗号の方式を新しくしても対策になりません。
この問題の用語
- MITB利用者のブラウザに入り込み、送金の内容などを書き換える攻撃です。別の機器で取引情報を確かめるトランザクション署名で見抜きます。
- トランザクション署名ネットバンキングでの不正送金を防ぐ仕組み。取引情報をPCとは別の機器に入力し、表示された値を送って改ざんを見抜きます。
- ワンタイムパスワード一度きりで使い捨てる合言葉。盗み見られても次には使えないので、同じものを使い続ける方式より安全です。
- サーバ証明書そのサーバが本物だと示すためのデジタル証明書。ブラウザはこれを見て、つないだ先が偽のサイトでないかを判断します。
- ログいつ誰が何をしたかを、機器やソフトウェアが自動で残していく記録です。あとから出来事をたどれるので、事故の調査や不正の発見に使われます。
- 認証名乗ったとおりの本人か、通信の相手が本物かを確かめる手続き。ここを経ずに入り込む裏口があると、後の許可の仕組みが働きません。
- TLS通信の中身を途中で読まれたり書き換えられたりしないよう、暗号にして届ける取り決め。つないだ相手が本物かも確かめます。
- 暗号化内容を鍵がなければ読めない形に変換すること。通信の経路だけでは守りきれない場合があるので、ファイル自体にも施します。
出典：平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11
同じ用語が出る問題
- 令和7年度 春期 午前Ⅱ 問6：デジタル証明書に関する記述（TLS）
- 令和6年度 春期 午前Ⅱ 問15：DNS CAAに関する問題（サーバ証明書）
- 令和5年度 秋期 午前Ⅱ 問7：トランザクション署名の説明（MITB）
- 令和4年度 春期 午前Ⅱ 問11：MITBに関する問題（トランザクション署名）
- 令和3年度 秋期 午前Ⅱ 問16：EAP-TLSが行う認証（ワンタイムパスワード）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）