平成28年度 秋期 基本情報技術者試験 午前 問40
テクノロジ／セキュリティICカードとPINを用いた利用者認証における適切な運用はどれか。
出典：平成28年度 秋期 基本情報技術者試験 午前 問40
- アICカードによって個々の利用者が識別できるので，管理負荷を軽減するために全利用者に共通のPINを設定する。
- イICカード紛失時には，新たなICカードを発行し，PINを再設定した後で，紛失したICカードの失効処理を行う。
- ウPINには，ICカードの表面に刻印してある数字情報を組み合わせたものを設定する。
- エPINは，ICカードの配送には同封せず，別経路で利用者に知らせる。
正解：エ
解説
ICカードとPINによる利用者認証は，ICカード（持ち物）とPIN（記憶）という異なる要素を組み合わせた認証です。PINはICカードとは別の安全な経路で利用者本人に知らせる必要があり，カードと一緒に送付したり，カード表面の情報から推測できるようにしたりしてはいけません。
選択肢ごとの解説
- ア誤り。全利用者に共通のPINを設定すると，ICカードを紛失・盗難された場合に本人以外でもなりすましが容易になり，認証の意味が失われます。
- イ誤り。ICカード紛失時は，まず紛失したICカードを失効させてから新しいICカードを発行しないと，紛失したカードが悪用されるおそれがあります。
- ウ誤り。PINをICカード表面の刻印情報から組み合わせて設定すると，カードを盗み見ただけでPINが推測できてしまい，認証の意味が失われます。
- エ正しい。PINは，ICカードとは別の経路で利用者に知らせることで，カードとPINの両方を同時に第三者に渡さないようにし，なりすましを防ぎます。