平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11
テクノロジ／セキュリティインターネットバンキングの利用時に被害をもたらす MITB（Man-in-the-Browser）攻撃に有効な対策はどれか。
出典：平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11
- アインターネットバンキングでの送金時に Web ブラウザで利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
- イインターネットバンキングでの送金時に接続する Web サイトの正当性を確認できるよう，EV SSL サーバ証明書を採用する。
- ウインターネットバンキングでのログイン認証において，一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを用意する。
- エインターネットバンキング利用時の通信を SSL ではなく TLS を利用して暗号化する。
正解：ア
解説
MITB（Man-in-the-Browser）攻撃は，PC に感染したマルウェアが Web ブラウザ内部に常駐し，利用者が入力した送金情報をブラウザ内で改ざんしたうえで金融機関に送信する攻撃です。通信経路自体は正規の暗号化がなされているため，EV SSL 証明書やワンタイムパスワードでは防げません。対策としては，利用者が入力した情報と金融機関が実際に受信した情報との整合性を，ブラウザとは別の経路・手段（トランザクション署名など）で検証することが有効です。
選択肢ごとの解説
- ア正しい。利用者が入力した情報と金融機関が受信した情報との差異を検証できるトランザクション署名の利用は，ブラウザ内で情報が改ざんされる MITB 攻撃に有効な対策です。
- イ誤り。EV SSL サーバ証明書は接続先サイトの正当性確認には有効ですが，ブラウザ内部で情報が改ざんされる MITB 攻撃自体は防げません。
- ウ誤り。ワンタイムパスワードはログイン認証のなりすまし対策であり，ログイン後にブラウザ内で送金情報が改ざんされる MITB 攻撃には有効ではありません。
- エ誤り。SSL を TLS に置き換えても，通信経路の暗号化強化にしかならず，ブラウザ内部での情報改ざんである MITB 攻撃への対策にはなりません。