平成24年度秋季解答

問題36

シングルサインオンの説明のうち、適切なものはどれか。

ア	クッキーを使ったシングルサインオンの場合、サーバごとに認証情報を含んだクッキーをクライアントで生成し、各サーバ上で保存、管理する。
イ	クッキーを使ったシングルサインオンの場合、認証対象の各サーバを、異なるインターネットドメインに配置する必要がある。
ウ	リバースプロキシを使ったシングルサインオンの場合、認証対象の各Webサーバを、異なるインターネットドメインにする必要がある。
エ	リバースプロキシを使ったシングルサインオンの場合、利用者認証においてパスワードの代わりにディジタル証明書を用いることができる。

解答：エ

＜解説＞

シングルサインオンとは、一度の認証処理によって複数のコンピュータ上のリソースが利用可能になる認証機能である。

シングルサインオンによってユーザは複数のIDやパスワードを覚えておく負担から解放される。

ア	×	クッキーを使ったシングルサインオンの場合、サーバごとの認証情報を含んだクッキーをクライアントで生成し、各クライアント上で保存、管理する。
イ	×	クッキーを使ったシングルサインオンの場合、認証対象の各サーバを同一のインターネットドメインに配置する必要がある。
ウ	×	リバースプロキシを使ったシングルサインオンの場合、認証対象の各Webサーバをインターネットドメイン(インターネットドメインは異なっていても同一のドメインでも可)に配置する必要がある。
エ	○	リバースプロキシを使ったシングルサインオンの場合、利用者認証においてパスワードの代わりにディジタル証明書を用いることができる。

問題へ

問題37

パスワードに使用できる文字の種類の数をM 、パスワードの文字数をn とするとき、設定できるパスワードの理論的な総数を求める数式はどれか。

解答：ア

＜解説＞

• パスワードの文字数が1文字であればM種類のパスワードが使用できる。
• パスワードの文字数が2文字であればM×M種類のパスワードが使用できる。
• パスワードの文字数が3文字であればM×M×M種類のパスワードが使用できる。

すなわち、パスワードの文字数がnであればMⁿとおりのパスワードを設定できる。

問題へ

問題38

手順に示すハッシュ関数とメッセージダイジェストの処理を行うことで得られるセキュリティ上の効果はどれか。 ここで、メッセージダイジェストは安全な方法で保護され、改ざんや破壊がされていないものとする。

[手順]
(1)	送信者Aは、電子メールの本文からハッシュ関数を用いて、メッセージダイジェストを作成する。 電子メールの本文とメッセージダイジェストを別々に受信者Bに送信する。
(2)	受信者Bは受信した電子メールの本文からハッシュ関数を用いて、メッセージダイジェストを作成する。 その作成したメッセージダイジェストと、受信したメッセージダイジェストを比較する。

ア	電子メールの本文の改ざんの有無の検出
イ	電子メールの誤送信の防止
ウ	電子メールの送達確認
エ	電子メールの盗聴の防止

解答：ア

＜解説＞

ア	○	本文の改ざんによりハッシュ関数によって作成するメッセージダイジェストと別に送られてきたメッセージダイジェストが異なるので確認できる。
イ	×	本文はそのまま送信されるので防止できない。
ウ	×	受信者から送信者へのレスポンスはない。
エ	×	本文は暗号化されないので、盗聴の防止はできない。

問題へ

問題39

暗号方式に関する記述のうち、適切なものはどれか。

ア	AESは公開鍵暗号方式、RSAは共通鍵暗号方式の一種である。
イ	共通鍵暗号方式では、暗号化及び復号に使用する鍵が同一である。
ウ	公開鍵暗号方式を通信内容の秘匿に使用する場合は、暗号化に使用する鍵を秘密にして、復号に使用する鍵を公開する。
エ	ディジタル署名に公開鍵暗号方式が使用されることはなく、共通鍵暗号方式が使用される。

解答：イ

＜解説＞

ア	×	AESは共通鍵暗号方式、RSAは公開鍵暗号方式の一種である。
イ	○	共通鍵暗号方式では、暗号化及び復号に使用する鍵が同一である。
ウ	×	公開鍵暗号方式を通信内容の秘匿に使用する場合は、暗号化に使用する鍵を公開にして、復号に使用する鍵を秘密にする。
エ	×	ディジタル署名には、公開鍵暗号方式が使用される。

問題へ

問題40

完全性を脅かす攻撃はどれか。

ア	Webページの改ざん
イ	システム内に保管されているデータの持出しを目的とした不正コピー
ウ	システムの過負荷状態をねらうDoS攻撃
エ	通信内容の盗聴

解答：ア

＜解説＞

情報セキュリティマネジメントシステム（ISMS：Information Security Management System）は、組織（企業、部、課など）における情報セキュリティを管理するための仕組みである。組織の情報資産について、機密性、完全性、可用性をバランスよく維持し改善することが、情報セキュリティマネジメントシステムの基本コンセプトである。

機密性（Confidential）

アクセスを認可された者だけが情報にアクセスできるようにすること

完全性（Integrity）

情報や情報の処理方法が正確かつ完全である（改ざんされていない）ことを保護すること

可用性（Availability）

許可された利用者が必要な時に情報資産にアクセスできること

ア	○	Webページの改ざんは、"完全性"が損なわれる行為である。
イ	×	不正コピーは"機密性"が損なわれる行為である。
ウ	×	DoS攻撃は、"可用性"が損なわれる行為である。
エ	×	ネットワークを流れるデータの盗聴は、"機密性"が損なわれる行為である。

問題へ