平成31年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8
テクノロジ／セキュリティインターネットバンキングサービスを提供する Web サイトを利用する際に，トランザクション署名の機能をもつハードウェアトークンを利用する。次の処理を行うとき，(4)によってできることはどれか。ここで，ハードウェアトークンは利用者ごとに異なり，本人だけが利用する。 〔処理〕 (1) ハードウェアトークンに振込先口座番号と振込金額を入力し，メッセージ認証符号（MAC）を生成する。 (2) Web サイトの振込処理画面に振込先口座番号，振込金額及び(1)で生成された MAC を入力し，Web サイトに送信する。 (3) Web サイトでは，本人に発行したハードウェアトークンと同じ処理手順によって振込先口座番号と振込金額から MAC を生成する。 (4) Web サイトでは，(2)で入力された MAC と，(3)で生成した MAC を比較する。
出典：平成31年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8
- ア通信経路において盗聴されていないことを確認できる。
- イ通信経路における盗聴者を特定できる。
- ウ振込先口座番号と振込金額が改ざんされていないことを確認できる。
- エ振込先口座番号と振込金額の改ざんされた箇所を訂正できる。
正解：ウ
解説
本問のハードウェアトークンは，振込先口座番号と振込金額という取引内容そのものを入力してメッセージ認証符号（MAC）を生成する，トランザクション署名の仕組みです。Web サイト側は，利用者から送られてきた振込先口座番号・振込金額・MAC のうち，振込先口座番号と振込金額から自らも同じ手順で MAC を生成し，これを利用者から送られてきた MAC と比較します。両者が一致すれば，通信の途中や利用者の PC 内で振込先口座番号や振込金額が改ざんされていないことを確認できます。逆に一致しなければ改ざんが疑われ，取引を拒否するといった対応につなげられます。MAC の比較は改ざんの有無を検出する仕組みであり，盗聴の有無の確認や盗聴者の特定，改ざん箇所の訂正を行うものではありません。
選択肢ごとの解説
- ア誤り。MAC の比較によって分かるのは振込先口座番号と振込金額が改ざんされていないことであって，通信経路上で盗聴されていないこと自体を確認できるわけではありません。
- イ誤り。MAC の比較では改ざんの有無しか分からず，通信経路上の盗聴者を特定することはできません。
- ウ正しい。(2)で入力された MAC と(3)で生成した MAC を比較することによって，振込先口座番号と振込金額が改ざんされていないことを確認できます。
- エ誤り。MAC の比較は改ざんの有無を検出するだけであり，改ざんされた箇所を特定して訂正する機能はありません。