情報セキュリティマネジメント試験基礎・応用
条件を読む・根拠を説明する
一度限りでも中継される場合
条件を整理し、答えを選んでから解き方を確認しましょう。
偽サイトに利用者がワンタイムパスワードを入力し、攻撃者が直ちに正規サイトへ中継してログインした。対策の評価はどれか。
答え・解き方を読む
OTPの一回限りの性質だけでは正規サイトへの結び付きを保証しない
考える順序
- 1一回限りでも未使用の出力はその場で中継され得る
- 2推測への強さと相手先への結び付きは別
- 3相手先に結び付ける認証方式等で評価する
選択肢ごとの理由
- 正解 · OTPの一回限りの性質だけでは正規サイトへの結び付きを保証しない
一回限りでも未使用の出力はその場で中継され得る。推測への強さと相手先への結び付きは別。相手先に結び付ける認証方式等で評価する。
- 比較 · 有効期限内のOTPは必ず入力先のドメインを検証する
手入力のOTP自体は入力先ドメインへの結び付きを持ちません。
- 比較 · OTPが使えたので偽サイトも正規サービスとみなせる
認証が成立した先と利用者が見ていたサイトは異なり得ます。
- 比較 · OTPの桁数を増やせば中継という仕組みは成立しない
推測を難しくしても本人が渡した値の中継は残ります。