【情報処理安全確保支援士試験令和5年度春期午後2 問2 No.3】

情報処理安全確保支援士試験令和5年度春期午後2 問2

【出典：情報処理安全確保支援士試験令和5年度春期午後2 問2（一部、加工あり）】

[機能拡張の計画開始]
W社は、サービス拡大のために、機能を拡張した日記サービス（以下、新日記サービスという）の計画を開始した。新日記サービスの要件は次のとおりである。
要件1：会員が記事を投稿する際、他社のSNSにも同時に投稿できること
要件2：スマートフォン用のアプリ（以下、スマホアプリという）を提供すること

W社は、要件1を実装した後で要件2に取り組むことに決めた。その上で、要件1を実現するために、T社のSNS（以下、サービスTという）と連携することにした。

[サービスTとの連携の検討]
OAuth 2.0を利用してサービスTと連携した場合のサービス要求から記事投稿結果取得までの流れを図3に、送信されるデータを表8に示す。

各リクエストの通信でTLS1.2及びTLS1.3を利用可能とするために、②暗号スイートの設定をどのようにすればよいかを検討した。また、サービスTとの連携のためのモジュール（以下、Rモジュールという）の実装から単体テストまでをF社に委託することにした。F社は、新技術を積極的に活用しているIT企業である。

m：新日記サービス、n：サービスT、o：サービスT

「（m）のWebサーバ」「（n）の認可サーバ」「（o）のリソースサーバ」
問題文の記述「要件1：会員が記事を投稿する際、他社のSNSにも同時に投稿できること」、「その上で、要件1を実現するために、T社のSNS（以下、サービスTという）と連携することにした。」と合わせて考えます。
最初にWebブラウザが（1）サービス要求を行うのは、新日記サービスのWebサーバでよさそうです。
そして、新日記サービスはサービスTとで連携するということで、（3）認可要求〜（6）認可コードのやり取りでWebブラウザを介してサービスTの認可サーバから認可コードを受領します。
その後、新日記サービスのWeサーバが（7）アクセストークン要求〜（8）アクセストークン応答でサービスTの認可サーバと、（9）記事投稿〜（10）記事投稿結果取得でサービスTのリソースサーバとやり取りします。

p：（3）、q：（7）

表8の送信されるデータを確認すると、（p）がGETメソッド、（q）がPOSTメソッドです。
（p）のGETメソッドでは、response_type、client_id、redirect_uriがあります。
client_idがサービスTに対して提示するもの、redirect_uri=△△△.com/callbackが新日記サービスへリダイレクトを示している（（5）の基になる）ことから、（3）の認可要求であることが分かります。
（q）のPOSTメソッドでは、tokenがあることから（7）のアクセストークン要求であることが分かります。

下線②について、CRYPTRECの”電子政府推奨暗号リスト（令和4年3月30日版）”では利用を推奨していない暗号技術が含まれるTLS1.2の暗号スイートを、解答群の名から全て選び、記号で答えよ。：ウ、エ
（解答群）
ア　TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
イ　TLS_DHE_RSA_WITH_AES_256_CBC_SHA256
ウ　TLS_RSA_WITH_3DES_EGC_CBC_SHA
エ　TLS_RSA_WITH_RC4_128_MD5

「各リクエストの通信でTLS1.2及びTLS1.3を利用可能とするために、②暗号スイートの設定をどのようにすればよいかを検討した。」
TLSの最新バージョンはTLS1.3で、その前のバージョンであるTLS1.2から3DES、RC4、SHA1、MD5のような危殆化（←計算能力の向上によって安全性が十分ではない）した古い暗号化アルゴリズムが削除されました。