情報セキュリティマネジメント試験基礎・応用
条件を読む・根拠を説明する
有効時間内の再利用
条件を整理し、答えを選んでから解き方を確認しましょう。
有効時間が残るOTPでログインが一度成功した。別の要求が同じ利用者・同じOTPを再提示した。リプレイ対策の扱いはどれか。
答え・解き方を読む
既に成功使用した値として再利用を拒否する
考える順序
- 1有効期限と一回限りは異なる条件
- 2期限内でも成功済みの値は再利用させない
- 3必要な使用状態を保持して再提示を判別する
選択肢ごとの理由
- 比較 · 成功時にOTPを保存せず重複検出をできなくする
重複を認識できない実装ではリプレイ対策が不足します。
- 正解 · 既に成功使用した値として再利用を拒否する
有効期限と一回限りは異なる条件。期限内でも成功済みの値は再利用させない。必要な使用状態を保持して再提示を判別する。
- 比較 · 有効時間内なら何度でも認める
時刻条件だけでは一回限りを実現できません。
- 比較 · 送信元IPが同じなら使用履歴を無視する
同じIPからの再送も正当な新規認証とは限りません。