令和4年度 春期 午前Ⅱ 問11
攻撃手法
MITBに関する問題
インターネットバンキングの利用時に被害をもたらす MITB（Man-in-the-Browser）攻撃に有効なインターネットバンクでの対策はどれか。
- アインターネットバンキングでの送金時に接続する Web サイトの正当性を利用者が確認できるよう，EV SSL サーバ証明書を採用する。
- イインターネットバンキングでの送金時に利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
- ウインターネットバンキングでのログイン認証において，一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを導入する。
- エインターネットバンキング利用時の通信を SSL ではなく TLS を利用して暗号化するように Web サイトを設定する。
答えと解説を見る
✓ これが正解イインターネットバンキングでの送金時に利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
解説
送金内容の書換えを見抜けるトランザクション署名が有効です。
MITB 攻撃では、利用者の PC に入り込んだマルウェアがブラウザの中に潜み、正規の銀行サイトとの正規の通信の途中で送金先や金額を書き換えます。利用者は本物のサイトに正しくログインしているため、接続先やログインの確かさを高めても被害は防げません。有効なのは、取引内容そのものを検証する対策です。トランザクション署名では、利用者が入力した送金内容に、ブラウザとは別の経路で署名を付け、銀行側が受け取った内容と照らし合わせます。途中で書き換えられていれば差異として見つかるので、不正な送金を止められます。
ほかの選択肢はなぜ違うのか
- アインターネットバンキングでの送金時に接続…：EV SSL サーバ証明書は、接続先のサイトが本物かどうかを利用者が確かめやすくするものです。この攻撃では利用者は本物の銀行サイトに接続しているので、確認しても書換えは防げません。
- ウインターネットバンキングでのログイン認証…：ワンタイムパスワードはログイン時の本人確認を強めます。しかしこの攻撃では、利用者本人が正しくログインした後に送金内容が書き換えられるため、ログインを強くしても防げません。
- エインターネットバンキング利用時の通信を …：SSL から TLS へ切り替えても、守られるのはブラウザからサーバまでの通信路です。書換えは暗号化される前のブラウザの中で起きるので、通信の暗号化では防げません。
この問題の用語
- MITB利用者のブラウザに入り込み、送金の内容などを書き換える攻撃です。別の機器で取引情報を確かめるトランザクション署名で見抜きます。
- トランザクション署名ネットバンキングでの不正送金を防ぐ仕組み。取引情報をPCとは別の機器に入力し、表示された値を送って改ざんを見抜きます。
- サーバ証明書そのサーバが本物だと示すためのデジタル証明書。ブラウザはこれを見て、つないだ先が偽のサイトでないかを判断します。
- ログいつ誰が何をしたかを、機器やソフトウェアが自動で残していく記録です。あとから出来事をたどれるので、事故の調査や不正の発見に使われます。
- 認証名乗ったとおりの本人か、通信の相手が本物かを確かめる手続き。ここを経ずに入り込む裏口があると、後の許可の仕組みが働きません。
- ワンタイムパスワード一度きりで使い捨てる合言葉。盗み見られても次には使えないので、同じものを使い続ける方式より安全です。
- TLS通信の中身を途中で読まれたり書き換えられたりしないよう、暗号にして届ける取り決め。つないだ相手が本物かも確かめます。
- 暗号化内容を鍵がなければ読めない形に変換すること。通信の経路だけでは守りきれない場合があるので、ファイル自体にも施します。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11
同じ用語が出る問題
- 令和7年度 春期 午前Ⅱ 問6：デジタル証明書に関する記述（TLS）
- 令和6年度 春期 午前Ⅱ 問15：DNS CAAに関する問題（サーバ証明書）
- 令和5年度 秋期 午前Ⅱ 問7：トランザクション署名の説明（MITB）
- 令和3年度 秋期 午前Ⅱ 問16：EAP-TLSが行う認証（ワンタイムパスワード）
- 令和2年度 10月 午前Ⅱ 問10：MITBに関する問題（トランザクション署名）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）