平成30年度 秋期 午前Ⅱ 問9
攻撃手法
MITB攻撃に有効な対策
インターネットバンキングの利用時に被害をもたらす MITB 攻撃に有効な対策はどれか。
- アインターネットバンキングでの送金時に Web ブラウザで利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
- イインターネットバンキングでの送金時に接続する Web サイトの正当性を確認できるよう，EV SSL サーバ証明書を採用する。
- ウインターネットバンキングでのログイン認証において，一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを用意する。
- エインターネットバンキング利用時の通信を SSL ではなく TLS を利用して暗号化する。
答えと解説を見る
✓ これが正解アインターネットバンキングでの送金時に Web ブラウザで利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
解説
取引内容を別の機器で署名するトランザクション署名が MITB に有効です。
MITB 攻撃では、利用者の PC に入り込んだマルウェアが Web ブラウザを乗っ取ります。利用者が正規のサイトにログインした後、送金の画面で入力された振込先や金額を、ブラウザの中で書き換えて送信します。利用者の画面には入力したとおりの内容が表示されるので、書換えに気づけません。トランザクション署名では、振込先や金額をブラウザとは別の機器で署名し、金融機関はその署名と受け取った内容を照合します。ブラウザの中で書き換えられても、金融機関の側で差異を検出できます。見分ける軸は、攻撃が通信路ではなく端末の中で起きることです。
ほかの選択肢はなぜ違うのか
- イインターネットバンキングでの送金時に接続…：EV SSL サーバ証明書で確かめられるのは、接続先のサイトが本物かどうかです。この攻撃で利用者がつながっているのは本物のサイトなので、サイトの正当性を確認しても送金内容の改変は防げません。
- ウインターネットバンキングでのログイン認証…：ワンタイムパスワードはログインの認証を強めますが、この攻撃はログインが済んだ後の送金内容を改変します。正しい利用者がログインした後に起きるので効果がありません。
- エインターネットバンキング利用時の通信を …：SSL から TLS に切り替えても、改変は暗号化される前のブラウザ内部で起きます。通信路をどれだけ強く暗号化しても、送る前に改ざんされた内容はそのまま金融機関に届きます。
この問題の用語
- トランザクション署名ネットバンキングでの不正送金を防ぐ仕組み。取引情報をPCとは別の機器に入力し、表示された値を送って改ざんを見抜きます。
- MITB利用者のブラウザに入り込み、送金の内容などを書き換える攻撃です。別の機器で取引情報を確かめるトランザクション署名で見抜きます。
- サーバ証明書そのサーバが本物だと示すためのデジタル証明書。ブラウザはこれを見て、つないだ先が偽のサイトでないかを判断します。
- ログいつ誰が何をしたかを、機器やソフトウェアが自動で残していく記録です。あとから出来事をたどれるので、事故の調査や不正の発見に使われます。
- 認証名乗ったとおりの本人か、通信の相手が本物かを確かめる手続き。ここを経ずに入り込む裏口があると、後の許可の仕組みが働きません。
- ワンタイムパスワード一度きりで使い捨てる合言葉。盗み見られても次には使えないので、同じものを使い続ける方式より安全です。
- TLS通信の中身を途中で読まれたり書き換えられたりしないよう、暗号にして届ける取り決め。つないだ相手が本物かも確かめます。
- 暗号化内容を鍵がなければ読めない形に変換すること。通信の経路だけでは守りきれない場合があるので、ファイル自体にも施します。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問9
同じ用語が出る問題
- 令和7年度 春期 午前Ⅱ 問6：デジタル証明書に関する記述（TLS）
- 令和6年度 春期 午前Ⅱ 問15：DNS CAAに関する問題（サーバ証明書）
- 令和5年度 秋期 午前Ⅱ 問7：トランザクション署名の説明（MITB）
- 令和4年度 春期 午前Ⅱ 問11：MITBに関する問題（トランザクション署名）
- 令和3年度 秋期 午前Ⅱ 問16：EAP-TLSが行う認証（ワンタイムパスワード）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）