令和2年度 10月 情報処理安全確保支援士試験 午前Ⅱ 問10
テクノロジ／セキュリティインターネットバンキングの利用時に被害をもたらす MITB（Man in the Browser）攻撃に有効な対策はどれか。
出典：令和2年度 10月 情報処理安全確保支援士試験 午前Ⅱ 問10
- アインターネットバンキングでの送金時に接続する Web サイトの正当性を確認できるよう，EV SSL サーバ証明書を採用する。
- イインターネットバンキングでの送金時に利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
- ウインターネットバンキングでのログイン認証において，一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを用意する。
- エインターネットバンキング利用時の通信を SSL ではなく TLS を利用して暗号化する。
正解：イ
解説
MITB（Man in the Browser）攻撃は，マルウェアに感染した PC の Web ブラウザに侵入し，利用者が入力した情報とサーバに送信される情報の間で内容を改ざんする攻撃です。例えば送金先口座番号や金額を，利用者が気付かないうちに書き換えてしまいます。この対策として有効なのが，送金時に利用者が入力した取引内容（トランザクション）に対して，PC 内のブラウザとは別の経路・別の手段でディジタル署名（トランザクション署名）を行い，金融機関側で送信された取引内容と実際に入力された内容とに差異がないかを検証する方式です。ブラウザ内で情報が改ざんされても，署名の検証によって不整合を検出できます。
選択肢ごとの解説
- ア誤り。EV SSL サーバ証明書は接続先 Web サイトの実在性を確認するための対策であり，ブラウザ内部で入力情報が改ざんされる MITB 攻撃そのものへの対策にはなりません。
- イ正しい。利用者が入力した情報と金融機関が受信した情報との差異を検証できるよう，トランザクション署名を利用することが，MITB 攻撃に有効な対策です。
- ウ誤り。ログイン認証時のワンタイムパスワードは，なりすましログインの防止には有効ですが，ログイン後にブラウザ内で送金情報が改ざんされる MITB 攻撃自体を防ぐものではありません。
- エ誤り。SSL と TLS は同じ SSL/TLS プロトコル群の呼称の違いにすぎず，通信の暗号化方式を変更しても，ブラウザ内部での情報改ざんを防ぐことはできません。