平成18年度情報セキュリティアドミニストレータ午後Ⅰ問題（問1）

SEのための情報セキュリティ対策

情報セキュリティプロフェッショナル試験対策　過去問掲載

平成18年度情報セキュリティアドミニストレータ午後Ⅰ問題（問1）

→詳細な解説を見る

問1　認証機能に関する次の記述を読んで，設問1～3に答えよ。
　
　V社は，社員数150名の企業で，主に各地の名産品や各国から輸入した食料品の通信販売を行っている。従来，V社は，雑誌に広告を掲載し，電話やファックスによる注文受付を行っていた。V社には，商品企画や営業活動，顧客からの注文受付を行う営業部，商品の仕入れや在庫管理，営業部で受け付けた商品の発送などを行う商品管理部，一般事務を行う総務部，及び情報システムの管理を行う情報システム部がある。
　今年，V社では，ビジネスの拡大を目指して，インターネットによる注文受付を開始した。また，継続的に顧客を確保するために，キャンペーン商品や各地の名産品の情報，各国から輸入した食料品に関するコラムなどを掲載した無料のメールマガジン（以下，メルマガという）を毎週提供することにした。
　
〔V社のシステム概要〕
　V社では，インターネットによる注文受付を開始する以前から，商品の管理に関して商品管理サーバを構築し，利用していた。社員は，商品管理サーバにアクセスすることによって，商品の在庫状況を確認できる。今回，注文受付Webサーバ，注文受付サーバ及びメルマガサーバを構築した。構築後のV社のシステム（以下，Qシステムという）の概要を図1に，Qシステムで使用するID種別を表に示す。

表　Qシステムで使用するID種別

ID種別

概要

会員ID

・	顧客がインターネット上で会員登録を行った際に発行されるIDで，注文受付サーバで管理される。
・	顧客は，会員登録時にパスワード，氏名，住所，電話番号，生年月日，電子メールアドレス，クレジットカード情報を登録する。会員登録が完了すると，会員IDが発行される。
・	顧客は会員登録後，会員IDとパスワードを使って注文受付Webサーバにアクセスし，注文受付サーバで管理するパスワードを変更することができる。パスワードを忘れた顧客のために，〔1〕パスワードリマインド機能（会員登録時に設定した電子メールアドレスを入力することで登録したパスワードが電子メールで送信される仕組み）が備えられている。

社員ID

・	すべての社員に割り当てられるIDで，社員ID管理サーバで管理される。
・	社員は，社員IDとパスワードを利用して認証され，PC，メールサーバ，商品管理サーバ及び社員ID管理サーバにアクセスすることができる。
・	初期パスワードは，情報システム部でランダムな文字列を作成して保存するとともに，利用開始時に本人あてに書面で通知される。その後，社員は，社員ID管理サーバで，各自のパスワードを変更することができる。パスワードを忘れた場合，情報システム部は社員から連絡を受けて，新しい初期パスワードを設定し，利用開始時と同じ方法で通知する。
・	パスワードは，ハッシュ化した上で社員ID管理サーバに保存される。

　
〔メルマガの設定管理〕
　メルマガサーバでは，メルマガ購読の申込みと解除の設定を行うことができ，会員IDをもっていない利用者からの利用も広く可能としている。メルマガ購読の申込みと解除の設定方法を，図2に示す。
　

図2　メルマガ購読の申込みと解除の設定方法

〔購読の申込み設定方法〕

1.	メルマガ購読を希望する利用者は，設定画面の電子メールアドレスの入力欄に，各自の電子メールアドレスを入力する。
2.	設定画面の“申込み”ボタンを押して，メルマガ購読の申込み設定を行う。
3.	メルマガ配信が既に行われている場合は，購読の申込み設定が行われたときに，“○○＠○○.○○.○○（利用者の電子メールアドレス）様，既に当社のメルマガを購読されております。”というメッセージが設定画面に表示される。
4.	メルマガ配信が行われていない場合は，購読の申込み設定が行われたときに，“○○＠○○.○○.○○（利用者の電子メールアドレス）様，当社のメルマガ購読のお申込み，ありがとうございます。”というメッセージが設定画面に表示されるとともに，最新号のメルマガが送付され，配信が開始される。

〔購読の解除設定方法〕

1.	メルマガ購読の解除を希望する利用者は，設定画面の電子メールアドレスの入力欄に，各自の電子メールアドレスを入力する。
2.	設定画面の“解除”ボタンを押して，メルマガ購読の解除設定を行う。
3.	メルマガ配信が行われている場合は，購読の解除設定が行われたときに，“○○＠○○.○○.○○（利用者の電子メールアドレス）様，当社のメルマガのご購読ありがとうございました。またのご購読をお待ちしております。”というメッセージが設定画面に表示され，メルマガ配信が中止される。
4.	メルマガ配信が行われていない場合は，購読の解除設定が行われたときに，“○○＠○○.○○.○○（利用者の電子メールアドレス）様の電子メールアドレスは，購読設定が行われておりません。”というメッセージが設定画面に表示される。

　
〔情報セキュリティ監査〕
　Qシステムが構築され，サービスを開始するまでに，社会的にセキュリティ事故が多発していたので，Qシステムの認証機能を中心に情報セキュリティ監査を専門会社に依頼した。情報セキュリティ監査の結果，図3のような指摘事項が示された。
　

図3　情報セキュリティ監査の指摘事項

(i)	メルマガサーバでは，他人が勝手に購読の申込みや解除の設定を行うことができる。〔2〕そのような設定ができない仕組み，又は〔3〕そのような設定が行われた場合に利用者が検知できる仕組みを導入すべきである。
(ii)	メルマガサーバでは，設定状況を他人が知り得ることから，設定画面に設定結果を表示することは問題である。設定画面には，設定結果を表示すべきではない。
(iii)	会員IDのパスワードがそのままの状態で，注文受付サーバのハードディスクに保存されている。パスワードは，ハッシュ化した上で保存しておくべきであり，顧客が入力したハッシュ化前のパスワードは削除すべきである。注文受付サーバの管理者であっても，顧客の登録したハッシュ化前のパスワードを直接確認できないようにすべきである。
(iv)	注文受付Webサーバに対しては，スクリプトなどによるブルートフォース攻撃（総当たり攻撃）によってログオンの試みを何回でも行うことができる。〔4〕同じ会員IDで連続して複数回ログオンが試みられて失敗した場合に，システム側で防御する対策が必要である。また，〔5〕なりすましによってログオンされたことを，顧客が検知できる対策も実施すべきである。
(v)	初期パスワードを変更していない社員IDが散見される。

　
　情報セキュリティ監査の結果を受けて，情報システム部のR部長と情報セキュリティアドミニストレータのS君は，指摘事項への対応を検討した。次は，R部長とS君の会話である。

R部長：	指摘(i)と(ii)への対応は，具体的にどうするのか。
S君：	はい。利用者からメルマガ購読の申込みを受けた場合，電子メールアドレスの入力を確認しただけで，すぐにメルマガを配信するのではなく，仮設定が完了したことと，本設定用のホームページのURL及び〔6〕照合用の文字列を記載したメッセージを，入力された電子メールアドレスあてに送信します。次に，利用者がそのURLにアクセスし，電子メールアドレスと照合用の文字列を入力して，設定を完了するように変更します。この方法によって，設定画面に設定結果を表示しないようにできます。また，解除する場合は，申し込む場合と同様な方法を採ることもできますが，今回は，〔7〕利用者の購読解除を簡単にしたいので，現在のメルマガ購読の解除設定方法のままで，設定結果の表示だけを行わないように変更しようと思います。この変更に伴って，図3中の下線〔3〕の仕組みを追加します。
R部長：	なるほど。指摘(iii)では，会員IDのパスワードをハッシュ化した上で保存しておくべきという指摘をされているが，パスワードをハッシュ化した上で保存しておく場合，どのようにパスワードを認証できるのか。
S君：	［　　a　　］と［　　b　　］を照合することによって，顧客が入力したままのパスワード，つまりハッシュ化前のパスワードを削除してもパスワード認証ができます。しかし，ハッシュ化前のパスワードを削除する場合は，〔8〕パスワードを忘れた顧客への対応方法を変更する必要があります。
R部長：	そうか。指摘(v)では，社員IDの初期パスワードが変更されていないことが指摘されている。この対策はどうするのかね。
S君：	はい。〔9〕パスワードの安全な運用管理の観点から，初期パスワードは1週間以内に変更させたいですね。また，その後も繰返し3か月以内にパスワードを変更させるようにすべきです。社員ID管理サーバでは，パスワードの再利用を禁止すること，パスワードの有効期限を3か月にすること，及び初回ログオン時に強制的にパスワードを変更させることはできます。しかし，初期パスワードを設定してから，社員が必ず1週間以内にログオンするとは限らないので，1週間以内にログオンするように規則を定めたいと思います。
R部長：	なるほど。それでは，早速対応に取り掛かってくれ。

　
　S君は，対応をまとめ，Qシステムの改良に着手した。
　

　
設問1　会員IDについて，(1)～(3)に答えよ。

(1)	本文中の［　　a　　］，［　　b　　］に入れる適切な字句を解答群の中から選び，記号で答えよ。解答群　ア　会員が最後に登録したパスワードのハッシュ化前のデータ　イ　会員が最後に登録したパスワードのハッシュ化後のデータ　ウ　ログオン時に入力したパスワードのハッシュ化前のデータ　エ　ログオン時に入力したパスワードのハッシュ化後のデータ
(2)	図3中の下線〔4〕と下線〔5〕の対策を，それぞれ20字以内で具体的に述べよ。
(3)	本文中の下線〔8〕の対応方法として，表中の下線〔1〕のパスワードリマインド機能に代わって，どのような仕組みを導入すべきか。40字以内で具体的に述べよ。

　
設問2　本文中の下線〔9〕で，S君は，初期パスワードを短期間で変更することを勧めている。現状の初期パスワードの配布方法では，社員が長期間ログオンしない場合，どのような問題が起こることを懸念しているのか。起こり得る問題を，30字以内で具体的に述べよ。
　

　
設問3　メルマガの設定管理について，(1)～(3)に答えよ。

(1)	図3中の下線〔2〕の仕組みを導入しない場合，他人が勝手に設定を行うことができるだけでなく，V社のメルマガサーバにも問題が起こる可能性がある。メルマガサーバに起こり得る問題を，20字以内で具体的に述べよ。
(2)	本文中の下線〔6〕の文字列に求められる要件を，20字以内で述べよ。
(3)	本文中の下線〔7〕の変更に伴って，追加すべき図3中の下線〔3〕の仕組みを，30字以内で具体的に述べよ。

　
→詳細な解説を見る

【午前】情報セキュリティアドミニストレータ
【午後】情報セキュリティアドミニストレータ

【午前】テクニカルエンジニア情報セキュリティ
【午後】テクニカルエンジニア情報セキュリティ

【午前】情報セキュリティプロフェッショナル
【午後】情報セキュリティプロフェッショナル

スポンサードリンク

スポンサードリンク

スポンサードリンク

免責事項　／　サイトマップ　／　リンク　／　　問い合わせ

平成18年度情報セキュリティアドミニストレータ午後Ⅰ問題 （問1）