令和2年度 10月 情報処理安全確保支援士試験 午前Ⅱ 問4
テクノロジ／セキュリティサイドチャネル攻撃に該当するものはどれか。
出典：令和2年度 10月 情報処理安全確保支援士試験 午前Ⅱ 問4
- ア暗号アルゴリズムを実装した攻撃対象の物理デバイスから得られる物理量（処理時間や消費電力など）やエラーメッセージから，攻撃対象の秘密情報を得る。
- イ企業などの秘密情報を窃取するソーシャルエンジニアリングの手法の一つであり，不用意に捨てられた秘密情報の印刷物をオフィスの紙ごみの中から探し出す。
- ウ通信を行う2者間に割り込んで，両者が交換する情報を自分のものとすり替えることによって，その後の通信を気付かれることなく盗聴する。
- エデータベースを利用する Web サイトに入力パラメタとして SQL 文の断片を送信することによって，データベースを改ざんする。
正解：ア
解説
サイドチャネル攻撃は，暗号アルゴリズムを実装した物理デバイスが処理を行う際に生じる，処理時間や消費電力，電磁波，エラーメッセージなどの副次的な物理量（サイドチャネル情報）を測定・解析することによって，装置内部の秘密鍵などの秘密情報を推定する攻撃です。アルゴリズム自体の数学的な弱点ではなく，実装や動作に伴う物理的な情報の漏えいを悪用する点が特徴です。
選択肢ごとの解説
- ア正しい。暗号アルゴリズムを実装した物理デバイスから得られる物理量やエラーメッセージから秘密情報を得る攻撃がサイドチャネル攻撃です。
- イ誤り。不用意に捨てられた印刷物を紙ごみの中から探し出す手口はスキャベンジング（トラッシング）と呼ばれるソーシャルエンジニアリングの一種であり，サイドチャネル攻撃ではありません。
- ウ誤り。通信を行う2者間に割り込み，交換される情報をすり替えて盗聴する攻撃は中間者攻撃（Man-in-the-Middle攻撃）であり，サイドチャネル攻撃ではありません。
- エ誤り。SQL 文の断片を入力パラメタとして送信しデータベースを改ざんする攻撃は SQL インジェクションであり，サイドチャネル攻撃ではありません。