平成28年度 春期 基本情報技術者試験 午前 問40
テクノロジ／セキュリティWebシステムのパスワードを忘れたときの利用者認証において合い言葉を使用する場合，合い言葉が一致した後の処理のうち，セキュリティ上最も適切なものはどれか。
出典：平成28年度 春期 基本情報技術者試験 午前 問40
- アあらかじめ登録された利用者のメールアドレス宛てに，現パスワードを送信する。
- イあらかじめ登録された利用者のメールアドレス宛てに，パスワード再登録用ページへアクセスするための，推測困難なURLを送信する。
- ウ新たにメールアドレスを入力させ，そのメールアドレス宛てに，現パスワードを送信する。
- エ新たにメールアドレスを入力させ，そのメールアドレス宛てに，パスワード再登録用ページへアクセスするための，推測困難なURLを送信する。
正解：イ
解説
パスワード再設定の仕組みでは，現在のパスワードをメールで送信すると，メールの盗聴などによって漏えいする危険があります。セキュリティ上は，あらかじめ登録された利用者本人のメールアドレスに，推測が困難なURLを送り，そこから新しいパスワードを設定させる方法が適切です。
選択肢ごとの解説
- ア誤り。現パスワードをメールで送信すると，メールの盗聴などによってパスワードが漏えいする危険があります。
- イ正しい。登録済みのメールアドレスに推測困難なURLを送る方法は，なりすましや漏えいのリスクを低減できます。
- ウ誤り。新たに入力させたメールアドレスに送信すると，本人以外のアドレスに送られてなりすましが可能になるおそれがあります。
- エ誤り。ウと同様に，新たに入力させたメールアドレス宛てに送ることは，本人確認が不十分でなりすましのリスクがあります。