令和4年度 秋期 応用情報技術者試験 午前 問37
テクノロジ／セキュリティサイドチャネル攻撃に該当するものはどれか。
出典：令和4年度 秋期 応用情報技術者試験 午前 問37
- ア暗号アルゴリズムを実装した攻撃対象の物理デバイスから得られる物理量（処理時間，消費電力など）やエラーメッセージから，攻撃対象の秘密情報を得る。
- イ企業などの秘密情報を不正に取得するソーシャルエンジニアリングの手法の一つであり，不用意に捨てられた秘密情報の印刷物をオフィスの紙ごみの中から探し出す。
- ウ通信を行う2者間に割り込み，両者が交換する情報を自分のものとすり替えることによって，その後の通信を気付かれることなく盗聴する。
- エデータベースを利用する Web サイトに入力パラメータとして SQL 文の断片を送信することによって，データベースを改ざんする。
正解：ア
解説
サイドチャネル攻撃は，暗号装置の処理時間（タイミング攻撃），消費電力（電力解析攻撃），電磁波，エラーメッセージなど，装置の外部から観測できる物理量や挙動（サイドチャネル情報）を手掛かりに秘密情報を推定する攻撃です。
選択肢ごとの解説
- ア正しい。物理デバイスから得られる処理時間や消費電力などの物理量やエラーメッセージから秘密情報を得るのがサイドチャネル攻撃です。
- イ誤り。紙ごみから秘密情報の印刷物を探し出すのはスキャベンジング（トラッシング）というソーシャルエンジニアリングの説明です。
- ウ誤り。通信の2者間に割り込んで情報をすり替えて盗聴するのは中間者（Man-in-the-Middle）攻撃の説明です。
- エ誤り。入力パラメータに SQL 文の断片を送り込んでデータベースを改ざんするのは SQL インジェクションの説明です。