【情報処理安全確保支援士試験令和3年度秋期午後2 問1 No.5】

情報処理安全確保支援士試験令和3年度秋期午後2 問1

【出典：情報処理安全確保支援士試験令和3年度秋期午後2 問1（一部、加工あり）】

[IDaaSとの連携による多要素認証の実現方式の検討]
Yさんは、IDaaSの連携による多要素認証の実現方式の検討を開始した。幾つかのIDaaSを検討した結果、国内の互いに地理的に離れた複数のデータセンタで運用されているKサービスとの連携による実現が最適であると考えた。Kサービスでは、様々な認証方式を選択できるが、Yさんは、Gサービスを利用した新たなファイル交換システム（以下、Eシステムという）には、FIDO認証が最もふさわしいと考え、FIDO認証器として何を選択するべきか、検討を開始した。まず、Kサービスで利用できるFIDO認証器の仕組みについて調査し、表5にまとめた。

認証器としてスマートフォンを利用した場合の利用者認証の流れは図10のとおりであった。

Yさんは、図10中の⑶〜⑸のメッセージの生成にオリジンbが使われていることについてTさんにその目的を尋ねた。Tさんは、攻撃者が、（g）するための特別なサーバをインターネット上に用意し、何らかの方法で被害者をそのサーバに誘導し、認証情報を不正に入手して悪用するという攻撃を防御するためだと答えた。

続いてYさんは、Eシステムにおいて、それぞれの認証器を使用した場合を想定し、認証器の取扱いを表6に、運用上のリスクと対策を表7にまとめた。

Yさんは、各認証器を比較し、次のようにまとめた。

Kサービスのアカウントに対して認証器を登録する際は、いずれの認証器でも、不正がないように確認する必要があり、登録について大きな差はない。
USB接続外部認証器は、紛失・盗難に備えた体制を整えるのが難しいので、採用しない。
スマートフォン及びOS内蔵の生体認証機能は、認証器として大きな差はないが、⑥Dシステムで要求されていたセキュリティ要件を技術的に実現できるので、OS内蔵の生体認証機能の方が望ましい。

上記からYさんは認証器としてOS内蔵の生体認証機能を採用することにした。

その後、Yさんは検討を続け、DシステムをEシステムに移行する案をまとめた。U社では、その案を承認し、Eシステムへの移行を開始した。

g（20字以内）：メッセージをKサービスとの間で中継

「Yさんは、図10中の⑶〜⑸のメッセージの生成にオリジンbが使われていることについてTさんにその目的を尋ねた。Tさんは、攻撃者が、（g）するための特別なサーバをインターネット上に用意し、何らかの方法で被害者をそのサーバに誘導し、認証情報を不正に入手して悪用するという攻撃を防御するためだと答えた。」
FIDO（Fast Identity Online）は、従来のパスワード認証におけるパスワード漏洩によるなりすましの問題に対する新しい認証方式で、生体認証や公開鍵暗号を組み合わせてオンライン認証を実現する技術のです。
図10（利用者認証の流れ）ではKサービスでのFIDOによる利用者認証の流れを示していて、オリジンbについては「WebブラウザがアクセスしているWebサイトのオリジン」とあります。
そして、⑸（認証サーバがWebブラウザからIDc、H（ドメイン）、オリジンb、署名M）を受信）の後で認証サーバが「オリジンbがKサービスのものであることを確認」しています。
通常、Webブラウザが認証サーバと直接通信していれば、WebブラウザのオリジンbはKサービスのものになるのは当たり前のことですが、あえてこれを確認しているのは何故でしょうか。
それは「攻撃者が、（g）するための特別なサーバをインターネット上に用意し、何らかの方法で被害者をそのサーバに誘導し、認証情報を不正に入手して悪用するという攻撃を防御するため」の部分がヒントになりそうです。
Webブラウザが認証サーバではなく特別なサーバ経由で認証情報を送信することで、攻撃者が不正に認証情報を入手できるということが想定できるでしょう。
これを防ぐために、認証サーバではオリジンbでブラウザの接続先を確認しているということです。
したがって、特別なサーバはWebブラウザからの認証のメッセージをKサービスとの間で中継するためのものになります。

h（10字以内）：生体認証、i（10字以内）：Kサービス、j（10字以内）：アカウントを削除、k（10字以内）：アカウントを無効に

「認証器（スマートフォン）の使用時に（h）が必要なので、不正利用される可能性は低い」
「認証器（OS内蔵の生体認証機能）の使用時に（h）が必要なので、不正利用される可能性は低い」
いずれも「認証器の紛失・盗難時のリスクと対策」で記載されている内容です。
認証器の使用については表5（FIDO認証器の仕組み）の「認証器使用時の利用者確認（User Verification）」で、それぞれ「スマートフォンに組み込まれた生体認証装置による生体認証」「OSに内蔵された生体認証機能による生体認証」と記載されています。
したがって、認証器の使用時には生体認証が必要なので、認証器が紛失・盗難したとしてもそれだけでは認証には利用できないため、不正利用される可能性は低いと言えるでしょう。

「退職者による不正なアクセスを防ぐために、個人所有のスマートフォンを利用していた場合も想定して、退職時又は退職後直ちに、（ｉ）では、（j）する必要がある」
認証器としてスマートフォンを利用する場合の「退職時のリスクと対策」で記載されている内容です。
認証器の所有については表6（認証器の取扱い）の「Eシステムにおける認証器の所有者」で、スマートフォンでは「各協力会社又は利用者個人」とあるように、上記のとおり、個人所有のスマートフォンを利用することもあるのでしょう。
スマートフォンを認証器に利用する場合、認証に用いる利用者IDと生体情報はいずれも利用者が記憶情報と生体情報を保持していることになり、さらに個人所有のスマートフォンを利用していた場合にはその利用者が退職した場合でもそのまま認証を通過することができるでしょう。
そこで退職時には、Kサービスに登録されている当該利用者のアカウントを削除する必要があります。

「第三者による不正利用を防ぐために、直ちに（k）する必要がある」
認証器にUSB接続外部認証器を利用した場合の「認証器の紛失・盗難時のリスクと対策」で記載されている内容です。
USB接続外部認証器の使用については表5（FIDO認証器の仕組み）の「認証器使用時の利用者確認（User Verification）」で、「なし」とあることから、認証器の紛失・盗難時には不正利用される可能性があります。
USB接続外部認証器について関連する記述を確認していくと、表5（FIDO認証器の仕組み）の「複数利用者による認証器の共用」で「できない」とあり、表6（認証器の取扱い）の「Eシステムにおける認証器の配布方法」で「U社から必要個数を各協力会社に配布する」とあります。
各協力会社に配布されたUSB接続外部認証器は複数の利用者で共用できそうに思えますが、ここで言う利用者とはKサービスのアカウントを指しているのでしょう。
つまり、USB接続外部認証器はアカウントと紐づいて管理されていると言えます。
したがって、USB接続外部認証器の紛失・盗難時には、Kサービスに登録されている当該アカウントを一時的に無効にする必要があります

下線⑥のように考えた理由は何か。50字以内で述べよ。：Gサービスへのアクセスを、ファイル受渡し用PCからのアクセスだけに限定できるから

「スマートフォン及びOS内蔵の生体認証機能は、認証器として大きな差はないが、⑥Dシステムで要求されていたセキュリティ要件を技術的に実現できるので、OS内蔵の生体認証機能の方が望ましい。」
まずはDシステムで要求されていたセキュリティ要件を確認しましょう。
問題文の前半に「U社ネットワーク内からDシステムにアクセスできる端末は、FWの設定によって、生産管理課に設置したファイル受渡し用PCだけに制限している」とあり、この要件はDシステムがGサービスに移行しても変わらないようです。
そして、このセキュリティ要件を技術的に実現できるかどうかを観点に、スマートフォンとOS内蔵の生体認証機能の違いを確認します。
表5（FIDO認証器の仕組み）の「組合せ」と注^１）から、KサービスにアクセスするPCと認証器の組合せが、スマートフォンでは限定できませんが、OS内蔵の生体認証機能では限定できることが分かります。
また、表6（認証器の取扱い）の「Eシステムにおける認証器の配布方法」で、OS内蔵の生体認証機能では「ファイル受渡し用PCが認証器を兼ねるので、認証器の別途配布は不要である」とあり、ファイル受渡し用PCのOSは生体認証機能を内蔵していることが分かります。
したがって、OS内蔵の生体認証機能であれば、Gサービスへのアクセスをファイル受渡し用PCに限定できそうです。