令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問7

解説

MITB（Man in the Browser）攻撃では，マルウェアが利用者のブラウザ内で送金先や金額を書き換えるため，通信の暗号化やログイン時の認証強化だけでは改ざんを検知できません。トランザクション署名は，送金操作を行う PC とは別のデバイスに振込先口座番号などの取引情報を入力させ，そこで生成された値をインターネットバンキングに送信させる方式です。取引情報そのものを認証の対象とするため，ブラウザ内で取引内容が改ざんされると値が一致せず，不正送金を防止できます。

選択肢ごとの解説

• ア誤り。メールでワンタイムパスワードを送る方式は取引内容と結び付いていないため，MITB による取引内容の改ざんは防げません。
• イ誤り。デジタル証明書による利用者認証はパスワード漏えい時の不正ログイン対策であり，ログイン後にブラウザ内で改ざんを行う MITB には有効ではありません。
• ウ正しい。別のデバイスに取引情報を入力して表示された値を送信することで，取引内容と結び付いた認証を行うのがトランザクション署名です。
• エ誤り。これは時刻同期方式などのログイン用ワンタイムパスワードの説明で，ログイン後の取引の改ざんは防げません。