<全14問>

SC H26 秋 午前Ⅱ 問1

PKIを構成するOCSPを利用する目的はどれか。

  • 誤って破棄してしまった秘密鍵の再発行処理の進捗状況を問い合わせる。
  • ディジタル証明書から生成した鍵情報の交換がOCSPクライアントとレスポンダの間で失敗した際, 認証状況を確認する。
  • ディジタル証明書の失効情報を問い合わせる。
  • 有効期限の切れたディジタル証明書の更新処理の進捗状況を確認する。
  • 解答を見る
    正解:ウ

    OCSP(Online Certificate Status Protocol)
    ディジタル証明書の失効情報をリアルタイムで確認するためのプロトコル。



    SC H26 秋 午前Ⅱ 問2

    ハッシュ関数の性質の一つである衝突発見困難性に関する記述のうち, 適切なものはどれか。

  • SHA-256の衝突発見困難性を示す, ハッシュ値が一致する二つのメッセージの探索に要する最大の計算量は, 256の2乗である。
  • SHA-256の衝突発見困難性を示す, ハッシュ値の元のメッセージの探索に要する最大の計算量は, 2の256乗である。
  • ハッシュ値が与えられたときに, 元のメッセージの探索に要する計算量の大きさによる, 探索の困難性のことである。
  • ハッシュ値が一致する二つのメッセージの探索に要する計算量の大きさによる, 探索の困難性のことである。
  • 解答を見る
    正解:エ

    ハッシュ関数は、次の3つの特性が必須です。

    原像計算困難性 (preimage resistance)
    ハッシュ値 h が与えられたとき、そこから h = hash(m) となるような任意のメッセージ m を探すことが困難でなければならない。

    第2原像計算困難性 (second preimage resistance)
    入力 m1 が与えられたとき、hash(m1) = hash(m2) となるようなもう1つの入力 m2(m1とは異なる入力)を見つけることが困難でなければならない。

    衝突困難性 (collision resistance)
    hash(m1) = hash(m2) となるような2つの異なるメッセージ m1 と m2 を探すことが困難でなければならない。フリー百科事典『ウィキペディア(Wikipedia)

    選択肢の文章がちょっと分かりにくいですが、答えはエとなります。



    SC H26 秋 午前Ⅱ 問3

    経済産業省が公表した “クラウドサービス利用のための情報セキュリティマネジメントガイドライン” が策定された目的について述べたものはどれか。

  • JIS Q 27002 の管理策を補完し, クラウドサービス利用者が情報セキュリティ対策を円滑に行えるようにする。
  • クラウドサービス提供事業者に対して情報セキュリティ監査を実施する方法を利用者に提示する。
  • クラウドサービスの利用がもたらすセキュリティリスクをサービス提供事業者の視点で提示する。
  • セキュリティリスクの懸念が少ないクラウドサービス提供事業者を利用者が選択できるような格付け基準を提供する。
  • 解答を見る
    正解:ア

    「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」

    本ガイドラインは、情報セキュリティマネジメントのベストプラクティスをまとめた国際規格(ISO/IEC27002:2005)を参照して、情報セキュリティ確保のために、クラウド利用者自ら行うべきことと、クラウド事業者に対して求めるべきことをまとめています。経済産業省



    SC H26 秋 午前Ⅱ 問4

    ディジタル証明書に関する記述のうち, 適切なものはどれか。

  • S/MIME や TLS で利用するディジタル証明書の規格は, ITU-T X.400 で規定されている。
  • ディジタル証明書は, SSL/TLS プロトコルにおいて通信データの暗号化のための鍵交換や通信相手の認証に利用されている。
  • 認証局が発行するディジタル証明書は, 申請者の秘密鍵に対して認証局がディジタル署名したものである。
  • ルート認証局は, 下位の認証局の公開鍵にルート認証局の公開鍵でディジタル署名したディジタル証明書を発行する。
  • 解答を見る
    正解:イ

  • ディジタル証明書の規格は、ITU(国際電気通信連合)が策定したX.509で規定されている。
  • 正しい記述です。
  • 認証局が発行するディジタル証明書は、申請者の公開鍵に対して認証局がディジタル署名したものである。
  • ディジタル証明書は階層構造になっており、下位層の認証局の公開鍵に上位層の認証局の秘密鍵でディジタル署名したディジタル証明書を発行することで、自らの正当性を証明する。


  • SC H26 秋 午前Ⅱ 問5

    FIPS 140-2 を説明したものはどれか。

  • 暗号モジュールのセキュリティ要求事項
  • 情報セキュリティマネジメントシステムに関する認証基準
  • ディジタル証明書や証明書失効リストの標準仕様
  • 無線LANセキュリティ技術
  • 解答を見る
    正解:ア

    FIPS 140(Federal Information Processing Standardization 140)
    暗号モジュール(暗号処理を行うソフトウェア及びハードウエア)のセキュリティ要求事項を規定した米国連邦標準規格。FIPS 140-2の末尾の2は、規格のバージョンを表す。



    SC H26 秋 午前Ⅱ 問6

    CSIRTの説明として, 適切なものはどれか。

  • IPアドレスの割当て方針の決定, DNSルートサーバの運用監視, DNS管理に関する調整などを世界規模で行う組織である。
  • インターネットに関する技術文書を作成し, 標準化のための検討を行う組織である。
  • 企業・組織内や政府機関に設置され, コンピュータセキュリティインシデントに関する報告を受け取り, 調査し, 対応活動を行う組織の総称である。
  • 情報技術を利用し, 宗教的又は政治的な目標を達成するという目的をもった人や組織の総称である。
  • 解答を見る
    正解:ウ

    CSIRT(Computer Security Incident Response Team)
    セキュリティインシデント(セキュリティの障害)が起きていないかを監視し、障害が発生した場合は原因分析など調査を行い、対応活動を行う組織の総称。シーサートと読む。



    SC H26 秋 午前Ⅱ 問7

    基本評価基準, 現状評価基準, 環境評価基準の三つの基準でIT製品のセキュリティ脆弱性の深刻さを評価するものはどれか。

  • CVSS
  • ISMS
  • PCI DSS
  • PMS
  • 解答を見る
    正解:ア

    CVSS(Common Vulnerability Scoring System)
    共通脆弱性評価システム。情報システムの脆弱性に対する汎用的な評価手法を提供している。CVSSを用いると、脆弱性の深刻度を同一の基準の下で定量的に比較できるようになる。
    CVSSでは「基本評価基準」「現状評価基準」「環境評価基準」の3つの基準で脆弱性を評価します。



    SC H26 秋 午前Ⅱ 問8

    CRYPTREC の活動内容はどれか。

  • 暗号技術の安全性, 実装性及び利用実績の評価・検討を行う。
  • 情報セキュリティ政策に係る基本戦略の立案, 官民における統一的, 横断的な情報セキュリティ対策の推進に係る企画などを行う。
  • 組織の情報セキュリティマネジメントシステムについて評価し認証する制度を運用する。
  • 認証機関から貸与された暗号モジュール試験報告書作成支援ツールを用いて暗号モジュールの安全性についての評価試験を行う。
  • 解答を見る
    正解:ア

  • CRYPTREC(Cryptography Research and Evaluation Committees)の説明。
    クリプトレックと読む。総務省及び経済産業省が共同で実施している暗号技術評価プロジェクト。客観的な評価により安全性及び実装性に優れると判断された暗号技術をリスト化する。
  • NISC(National Information Security Center)の活動内容。
  • JIPDEC(日本情報経済社会推進協会)の活動内容。
  • CRYPTRECの活動内容ではない。


  • SC H26 秋 午前Ⅱ 問9

    DNSキャッシュサーバに対して外部から行われるキャッシュポイズニング攻撃への対策のうち, 適切なものはどれか。

  • 外部ネットワークからの再帰的な問合せに応答できるように, コンテンツサーバにキャッシュサーバを兼ねさせる。
  • 再帰的な問合せに対しては, 内部ネットワークからのものだけに応答するように設定する。
  • 再帰的な問合せを行う際の送信元のポート番号を固定する。
  • 再帰的な問合せを行う際のトランザクションIDを固定する。
  • 解答を見る
    正解:イ



    SC H26 秋 午前Ⅱ 問12

    DoS攻撃の一つであるSmurf攻撃の特徴はどれか。

  • ICMPの応答パケットを大量に送り付ける。
  • TCP接続要求であるSYNパケットを大量に送り付ける。
  • サイズが大きいUDPパケットを大量に送り付ける。
  • サイズが大きい電子メールや大量の電子メールを送り付ける。
  • 解答を見る
    正解:ア

  • Smurf攻撃の説明。
  • SYN flood攻撃の説明。
  • UDP flood攻撃の説明。
  • メールボムの説明。/li>


  • SC H26 秋 午前Ⅱ 問13

    サイドチャネル攻撃を説明したものはどれか。

  • 暗号化装置における暗号化処理時の消費電力などの測定や統計処理によって, 当該装置内部の機密情報を推定する攻撃
  • 攻撃者が任意に選択した平文とその平文に対応した暗号文から数学的手法を用いて暗号鍵を推測し, 同じ暗号鍵を用いて作成された暗号文を解読する攻撃
  • 操作中の人の横から, 入力操作の内容を観察することによって, IDとパスワードを盗み取る攻撃
  • 無線LANのアクセスポイントを不正に設置し, チャネル間の干渉を発生させることによって, 通信を妨害する攻撃
  • 解答を見る
    正解:ア



    SC H26 秋 午前Ⅱ 問14

    ディジタルフォレンジックスを説明したものはどれか。

  • 画像や音楽などのディジタルコンテンツに著作権者などの情報を埋め込む。
  • コンピュータやネットワークのセキュリティ上の弱点を発見するテスト手法の一つであり, システムを実際に攻撃して侵入を試みる。
  • ネットワークの管理者や利用者などから, 巧みな話術や盗み聞き, 盗み見などの手段によって, パスワードなどのセキュリティ上重要な情報を入手する。
  • 犯罪に対する証拠となり得るデータを保全し, その後の訴訟などに備える。
  • 解答を見る
    正解:エ



    SC H26 秋 午前Ⅱ 問15

    スパムメールへの対策であるDKIM (DomainKeys Identified Mail) の説明はどれか。

  • 送信側メールサーバでディジタル署名を電子メールのヘッダに付加して, 受信側メールサーバで検証する。
  • 送信側メールサーバで利用者が認証されたとき, 電子メールの送信が許可される。
  • 電子メールのヘッダや配送経路の情報から得られる送信元情報を用いて, メール送信元のIPアドレスを検証する。
  • ネットワーク機器で, 内部ネットワークから外部のメールサーバのTCPポート番号25への直接の通信を禁止する。
  • 解答を見る
    正解:ア



    SC H26 秋 午前Ⅱ 問18

    DNSSECに関する記述として, 適切なものはどれか。

  • DNSサーバへのDoS攻撃を防止できる。
  • Ipsecによる暗号化通信が前提となっている。
  • 代表的なDNSサーバの実装であるBINDの代替として使用する。
  • ディジタル署名によってDNS応答の正当性を確認できる。
  • 解答を見る
    正解:エ

    DNSSEC(DNS Security Extensions)は、DNSのセキュリティ拡張方式。
    DNSのレコードに公開鍵暗号方式によるディジタル署名を付加し、応答を受け取った側で、そのディジタル署名を検証する仕組み。ディジタル署名を検証することで、レコードの送信者の正当性と応答が改ざんされてないことを保証できる。
    DNSキャッシュポイズニングの対策に有効。