Question 1

業務で使うパスワードの決め方として正しいものはどれか。

Accepted Answer

十分な長さで推測されにくくする。パスワードの安全性に最も大きく効くのは、まず十分な長さを確保することです。そのうえで、氏名・生年月日・電話番号・会社名・辞書に載っている単語など、他人が調べたり推測したりできる情報を避けることが基本になります。長さが効くのは、1文字増えるごとに試すべき組合せの数が何倍にも膨らみ、機械的に総当たりする攻撃にかかる時間が一気に延びるからです。逆に、記号を混ぜても全体が短ければ効果は限られます。長くて覚えにくい文字列は無理に記憶しようとせず、パスワード管理ソフトなど安全な方法で保管するのが現実的です。他の選択肢について：・氏名と生年月日の組合せ：どちらも第三者が入手しやすい情報で、攻撃者が真っ先に試す候補です。・短く単純な文字列：機械的な総当たりで短時間に解読され、入力の速さと引き換えにできる安全性ではありません。・業務の名称をそのまま利用：組織の外からも推測しやすく、単語そのままは辞書攻撃にも弱くなります。

Question 2

複数のサービスで同じパスワードを使い回すことが危険とされる主な理由はどれか。

Accepted Answer

一つの流出から他でも侵入される。どこか一つのサービスから利用者IDとパスワードの組合せが流出すると、攻撃者はまったく別のサービスでも、その同じ組合せを次々に試します。これはパスワードリスト攻撃と呼ばれ、使い回していると、一つの流出をきっかけに被害が芋づる式に広がってしまいます。やっかいなのは、流出したのが自分にとって重要でないサービスであっても被害が及ぶ点です。攻撃者にとっては、どこで手に入れた組合せかは関係ありません。対策としては、少なくとも金銭や個人情報を扱う重要なサービスごとに異なるパスワードを設定し、あわせて多要素認証を有効にしておくことが有効です。他の選択肢について：・通信の暗号が解読されやすい：通信の保護はTLSなどの仕組みが担うもので、使い回しとは関係がありません。・文字数の上限が短く制限される：文字数の制限はサービス側の仕様で決まり、登録した数によって変わるものではありません。・全ての登録が一斉に無効になる：各サービスの登録は互いに独立しており、そのような連動は起こりません。

Question 3

考えられる文字の組合せを片端から試して、パスワードの解読を試みる攻撃はどれか。

Accepted Answer

ブルートフォース攻撃。ブルートフォース攻撃（総当たり攻撃）は、あり得る文字の組合せを機械的に片端から試し、正しいパスワードを見つけ出そうとする攻撃です。知識や推測ではなく、力任せに数を試すという単純な方法です。単純である分、対策も明快です。パスワードを長くするほど試すべき組合せの数が急激に増え、解読に必要な時間が現実的でないほど延びます。あわせて、一定回数続けて失敗したアカウントを一時的に使えなくするアカウントロックや、多要素認証の導入も効果があります。なお、流出した組合せを他のサービスで試すパスワードリスト攻撃とは、試す文字列の作り方が違う点に注意してください。他の選択肢について：・クロスサイトスクリプティング：Webページに不正なスクリプトを埋め込ませ、閲覧者の環境で動かす攻撃です。・SQLインジェクション：入力欄からデータベースへの命令を不正に混入させ、情報を抜き取る攻撃です。・ゼロデイ攻撃：修正プログラムが提供される前の脆弱性を突く攻撃を指します。

Question 4

辞書攻撃に対して、最も効果が期待できる対策はどれか。

Accepted Answer

単語を使わず長い文字列にする。辞書攻撃は、辞書に載っている単語や、過去に流出してよく使われていると分かっているパスワードを一覧にまとめ、それを順に試していく攻撃です。総当たりよりも試す回数がはるかに少なくて済むため、短時間で成功しやすいという特徴があります。したがって、意味のある単語をそのまま使わないことが直接の対策になります。単語の末尾に数字を一つ足す、文字をよく似た記号に置き換えるといった小細工も、攻撃側の一覧にはすでに織り込まれています。互いに関係のない複数の語をつないで長い文字列にする、といった作り方のほうがはるかに有効です。他の選択肢について：・使える文字を英字だけに限定：組合せの幅を自ら狭める運用で、かえって解読されやすくなります。・入力欄を見えない表示にする：のぞき見の防止には役立ちますが、機械的に候補を試す攻撃には効きません。・利用者IDを氏名から作る：管理上は分かりやすい反面、IDを推測されやすくなる側面があります。

Question 5

多要素認証で用いられる3つの要素は「知識」「所持」「生体」である。このうち「所持」による認証に当たるものはどれか。

Accepted Answer

アプリに表示される確認コード。認証に使う要素は、本人だけが知っている「知識」、本人だけが持っている「所持」、本人の身体そのものである「生体」の3種類に整理されます。スマートフォンのアプリに表示される確認コードは、その端末を持っていることを前提とするため、所持による認証に当たります。多要素認証とは、この3種類のうち異なる種類の要素を2つ以上組み合わせる方式です。ここで大切なのは、パスワードと秘密の質問のように同じ知識の要素を2つ重ねても多要素にはならない、という点です。種類が違うからこそ、片方が破られてももう片方が残り、安全性が高まります。この考え方は繰り返し問われます。他の選択肢について：・秘密の質問の答え：本人が記憶している情報であり、知識による認証に当たります。・指紋の読み取り：身体的な特徴を用いるもので、生体による認証に当たります。・パスワードの入力：本人だけが知っている情報であり、知識による認証の代表例です。

Question 6

ワンタイムパスワードの特徴として正しいものはどれか。

Accepted Answer

一度限り有効な使い捨ての文字列。ワンタイムパスワードは、一定時間だけ、あるいは一度だけ有効な使い捨てのパスワードです。専用の機器（トークン）やスマートフォンのアプリで生成する方式、ショートメッセージで送られる方式などが広く使われています。利点は、仮に通信の途中で盗み見られたとしても、その文字列がすぐに無効になるため、盗んだものをそのまま使い回す攻撃に強いことです。固定のパスワードは一度盗まれると、本人が変更するまで使われ続けてしまいます。多くの場合、ワンタイムパスワードは固定のパスワードと組み合わせ、多要素認証のうち所持の要素として使われます。他の選択肢について：・複数のサービスで共通に使う：使い回しは避けるべき運用であり、使い捨てという性質とも矛盾します。・生涯変更せずに使い続ける：これは取り替えのきかない生体情報に近い説明で、パスワードの性質ではありません。・全利用者へ配付して共有する：共有すると誰の操作か特定できなくなり、責任追跡性が損なわれます。

Question 7

生体認証（バイオメトリクス認証）について、留意すべき点として正しいものはどれか。

Accepted Answer

漏えいしても取り替えが難しい。生体認証は、指紋・静脈・顔・虹彩などの身体的な特徴を使う方式で、覚える必要がなく、紛失も貸し借りもされにくいという利点があります。一方で注意したいのが、登録した特徴の情報が漏えいしても、本人の身体は取り替えられないという点です。パスワードなら流出しても新しいものに変更すれば済みますが、指紋や顔は変更できません。そのため、生体情報そのものは特に厳重に保護する必要があり、機器の中だけで照合して外へ出さない設計が広く採られています。また、判定には必ず誤りの余地があり、本人を誤って拒否する割合（本人拒否率）と、他人を誤って受け入れる割合（他人受入率）は、どちらもゼロにはできません。他の選択肢について：・体調が変わっても結果は一致する：指の乾燥や照明などで読み取りの結果は変動し、本人が拒否されることがあります。・他人を受け入れる誤りはゼロになる：他人受入率はわずかながら必ず残り、ゼロにはできません。・読み取り装置がなくても使える：特徴を取得する専用の装置が必要で、対応していない端末では使えません。

Question 8

アカウントロック（一定回数の認証失敗でアカウントを一時的に使用不可にする仕組み）の主な目的はどれか。

Accepted Answer

試行を繰り返す攻撃から資格情報を守る。アカウントロックは、連続した認証の失敗が定められた回数に達した時点で、そのアカウントを一時的に使えなくする仕組みです。総当たり攻撃や辞書攻撃のように、何度も試行を繰り返して正解を探す攻撃に対する備えになります。試行の回数に上限を設ければ、パスワードそのものを変えなくても、攻撃者が試せる回数を大きく制限できます。ただし、攻撃者がわざと失敗を重ねて正規の利用者を締め出す嫌がらせに悪用されることもあるため、一定時間で自動的に解除する、本人確認のうえ管理者が解除するなど、解除の手順をあらかじめ決めておく必要があります。他の選択肢について：・パスワードを暗号化して保管：保管する側の対策で、実際にはハッシュ化などが用いられる別の仕組みです。・退職者のアカウントの削除：ID管理の運用に関する話で、認証の失敗回数とは関係しません。・通信経路の暗号化：TLSなどが担う役割で、これも認証の失敗回数とは無関係です。

Question 9

職場でのパスワードの取扱いとして、最も適切なものはどれか。

Accepted Answer

本人だけが分かる方法で保管する。パスワードは、その操作をしたのが確かに本人であることを示すための情報です。したがって他人に教えた時点で「誰が操作したのか」を証明できなくなり、万一問題が起きたときに責任の所在が分からなくなります。本人以外が知り得ない方法で保管し、誰にも教えないことが原則です。急ぎの作業を人に頼む必要がある場合は、自分のパスワードを渡すのではなく、その人自身のアカウントに必要な権限を一時的に付与するのが正しい対応です。どうしても書き留めて保管する必要があるときは、施錠できる場所やパスワード管理ソフトなど、第三者の目に触れない手段を使ってください。他の選択肢について：・上司に口頭で伝える：相手の役職にかかわらず、貸与すれば操作の責任の所在が不明確になります。・付箋で画面に貼る：通りかかった人や来訪者に簡単に見られてしまい、のぞき見の格好の標的になります。・共有端末で入力を保存：次に使う人が本人になりすませる状態となり、不正な利用を招きます。

Question 10

利用者に業務上必要な最小限の権限だけを与える考え方を何と呼ぶか。

Accepted Answer

最小権限の原則。最小権限の原則とは、利用者やプログラムに対して、業務を行うのに必要な最小限の権限だけを与えるという考え方です。「念のため広めに」ではなく「必要な分だけ」を徹底するのが要点です。権限を絞っておくと、万一そのアカウントが乗っ取られたり、内部で不正が行われたりした場合でも、被害が及ぶ範囲をその権限の中に閉じ込められます。また、うっかりした誤操作で重要なデータを消してしまう事故も防げます。実務では、異動や退職に合わせて権限を速やかに見直すこと、定期的に付与状況を棚卸しすることが、この原則を形だけで終わらせないための鍵になります。他の選択肢について：・職務分掌：一人に権限が集中しないよう、担当と承認の役割を複数人に分ける考え方です。・多層防御：異なる対策を何段にも重ね、一つが破られても全体としては守られるようにする考え方です。・フェールセーフ：障害が起きたときに、安全な側の状態へ移るように設計するという考え方です。

基礎-3 パスワードと本人確認の基礎の一問一答