今回の基本情報対策は、3回連続ですが…セキュリティです。ブルートフォースや、ソーシャルエンジニアリングに関する問題、2要素認証に関する問題などを選びました。システムのぜい弱性を狙う攻撃手法はいろいろあるので、それぞれ特徴を押えておきましょう。ちなみに、ネット上で単純なパスワードを使っていると、ブルートフォースで破られてしまうので気をつけてくださいね。
問題 1
暗号解読の手法のうち，ブルートフォース攻撃はどれか。 (基本情報技術者試験 平成27年秋季 午前問37)
(A) 与えられた1組の平文と暗号文に対し，総当たりで鍵を割り出す。
(B) 暗号化関数の統計的な偏りを線形関数によって近似して解読する。
(C) 暗号化装置の動作を電磁波から解析することによって解読する。
(D) 異なる二つの平文とそれぞれの暗号文の差分を観測して鍵を割り出す。
正解は A。
ブルートフォース攻撃とは、暗号の解読やパスワードの解析のために、考えうるパターンを総当りで試行することです。
(A) 与えられた1組の平文と暗号文に対し，総当たりで鍵を割り出す。
これは正しいです。
(B) 暗号化関数の統計的な偏りを線形関数によって近似して解読する。
これは誤りです。線形解読法の説明です。
(C) 暗号化装置の動作を電磁波から解析することによって解読する。
これは誤りです。サイドチャネル攻撃の説明です。
(D) 異なる二つの平文とそれぞれの暗号文の差分を観測して鍵を割り出す。
これは誤りです。差分解読法の説明です
問題 2
標的型攻撃メールで利用されるソーシャルエンジニアリング手法に該当するものはどれか。 (基本情報技術者試験 平成27年秋季 午前問39)
(A) 件名に"未承諾広告※"と記述する。
(B) 件名や本文に，受信者の業務に関係がありそうな内容を記述する。
(C) 支払う必要がない料金を振り込ませるために，債権回収会社などを装い無差別に送信する。
(D) 偽のホームページにアクセスさせるために，金融機関などを装い無差別に送信する。
正解は B。
標的型攻撃メールとは、機密情報を入手するために、特定の組織に対して送信される、ウイルスが添付されたメールです。
(A) 件名に"未承諾広告※"と記述する。
これは誤りです。相手が未承諾で配信される営利目的のメールのことです。ただし現在では「未承諾広告※」を付けても、法的に許可されません。
(B) 件名や本文に，受信者の業務に関係がありそうな内容を記述する。
これは正しいです。あたかも組織に関係ありそうな、社会的な手段を用いることは、ソーシャルエンジニアリングの特徴でもあります。
(C) 支払う必要がない料金を振り込ませるために，債権回収会社などを装い無差別に送信する。
これは誤りです。架空請求メールの説明です。
(D) 偽のホームページにアクセスさせるために，金融機関などを装い無差別に送信する。
これは誤りです。フィッシング詐欺メールの説明です。
問題 3
ワームの検知方式の一つとして，検査対象のファイルからSHA-256を使ってハッシュ値を求め，既知のワーム検体ファイルのハッシュ値のデータベースと照合することによって，検知できるものはどれか。 (基本情報技術者試験 平成27年秋季 午前問43)
(A) ワーム検体と同一のワーム
(B) ワーム検体と特徴あるコード列が同じワーム
(C) ワーム検体とファイルサイズが同じワーム
(D) ワーム検体の亜種に当たるワーム
正解は A。
SHA-256とは、原文からハッシュ値を求めるアルゴリズムの1つで、内容が同一の2つの原文では、ハッシュ値が同じになります。
(A) ワーム検体と同一のワーム
これは正しいです。検体と同一のワームは、ハッシュ値も同じになります。
(B) ワーム検体と特徴あるコード列が同じワーム
これは誤りです。部分的な一致では、ハッシュ値が同じになるとは限りません。
(C) ワーム検体とファイルサイズが同じワーム
これは誤りです。ファイルサイズが同じだけでは、ハッシュ値は同じになるとは限りません。
(D) ワーム検体の亜種に当たるワーム
これは誤りです。検体の亜種は、ハッシュ値が同じになるとは限りません。
問題 4
2要素認証に該当するものはどれか。 (基本情報技術者試験 平成27年秋季 午前問45)
(A) 2本の指の指紋で認証する。
(B) 虹彩とパスワードで認証する。
(C) 異なる2種類の特殊文字を混ぜたパスワードで認証する。
(D) 異なる2つのパスワードで認証する。
正解は B。
2要素認証とは、2種類の異なる性質の情報を組み合わせた認証方式です。パスワードのみの従来の認証より、安全性が高くなります。
2要素認証に使用される要素
ユーザが知っていること
パスワード
ユーザが所有しているもの
ICカード、携帯電話
ユーザ自身の特性
虹彩、指紋、静脈
(A) 2本の指の指紋で認証する。
これは誤りです。指の指紋のみでは、2本要求しても、2要素認証とはなりません。
(B) 虹彩とパスワードで認証する。
これは正しいです。ユーザ自身の特性である虹彩と、ユーザが知っているパスワードの2種類で認証を行います。
(C) 異なる2種類の特殊文字を混ぜたパスワードで認証する。
これは誤りです。パスワードに使用する文字は、2要素認証には関係ありません。
(D) 異なる2つのパスワードで認証する。
これは誤りです。パスワードのみでは、2つを要求しても、2要素認証とはなりません。
問題 5
レビュー技法の一つであるインスペクションにおけるモデレータの役割はどれか。 (基本情報技術者試験 平成27年秋季 午前問46)
(A) レビューで提起された欠陥，課題，コメントを記録する。
(B) レビューで発見された欠陥を修正する。
(C) レビューの対象となる資料を，他のレビュー参加者に説明する。
(D) レビューを主導し，参加者にそれぞれの役割を果たさせるようにする。
正解は D。
インスペクションとは、プログラムを実際に動作させずに、人間の目でチェックすることです。モデレータが主導となり、レビューを進行させます。
インスペクションの役割分担
モデレータ レビューを主導する
プレゼンタ 資料を説明する
インスペクタ 欠陥を指摘する
スクライブ 指摘内容を記録する
オーナー 対象物を作成する
(A) レビューで提起された欠陥，課題，コメントを記録する。
これは誤りです。スクライブの役割です。
(B) レビューで発見された欠陥を修正する。
これは誤りです。インスペクタの役割です。
(C) レビューの対象となる資料を，他のレビュー参加者に説明する。
これは誤りです。プレゼンタの役割です。
(D) レビューを主導し，参加者にそれぞれの役割を果たさせるようにする。
これは正しいです。モデレータの役割です。