【SC＊過去問解説】令和3年度春期　午後Ⅰ 問1

こんにちは、mokakoです。
今回は情報処理安全確保支援士試験の令和3年度春期午後Ⅰ 問1を解説していきたいと思います！

※この解説ブログでは、あくまでも私自身が解いた備忘録となりますので、間違いなどを発見された場合はどうぞ教えていただけますと幸いです。

下記より問題文と解答を引用しております。

問題
https://www.jitec.ipa.go.jp/1_04hanni_sukiru/mondai_kaitou_2021r03_1/2021r03h_sc_pm1_qs.pdf
解答
https://www.jitec.ipa.go.jp/1_04hanni_sukiru/mondai_kaitou_2021r03_1/2021r03h_sc_pm1_ans.pdf
出典：令和3年度春期情報処理安全確保支援士試験午後Ⅰ 問1

では早速解説してまいります！

設問1

(1)多要素認証の実装をSサービス側に用意しなくてよい。

解説
S社の課題とは、[Sサービスの改修]の1行目、「前回の脆弱性診断では、利用者IDとパスワードを用いて利用者認証するSサービスの認証モジュールの認証方式を、多要素認証にする方が良いとのアドバイスを受けたが、その対処が課題であった。」という文から、多要素認証にするべきだが、その対処が難しいと言う点であることが分かります。

また、その次の文に「そこで、F氏は、認証及び認可を提供するSNSのうち、多要素認証などの機能をもつT社のTサービスとSサービスとをID連携する改修をCEOのX氏に提案した。その改修によって、S認証モジュールを用いないS会員の登録と多要素認証の実現を目指す。」とあるので、TサービスとSサービスを連携することによってSサービスに多要素認証を組み込まずに、多要素認証を実現することができます。よって解答のようになります。

(2)Tサービスの障害時にSサービスを利用できない。

解説
こちらは本文にヒントがないのですが、問題の文の可用性というところに注目します。可用性とは簡単に言うといかに常に使える状態であるかということなので、この面でなにかしらの可用性が低くなるという欠点があると予想します。

以下の二つについてSサービスが使えなくなるのはどのような時かを考えます。
① Sサービスだけの状態：Sサービスに障害が起きた時
② TサービスとSサービスを連携させた状態：Tサービス・Sサービスいずれかに障害が起きた時

上記を比べると分かりますが、②の状態の時、Sサービスだけではなく、Tサービスに障害が起きた時にもSサービスが使えなくなってしまいます。したがって解答のようになります。　

(3)a. ア　b. イ　c. ウ

解説
※アはSサービス、イはTサービス、ウは利用者
最初の文から見ていくと、a は b が提供するリソースにアクセスできる、とあります。今回、Tサービスに登録してある情報を利用した認証を行おうとしているため、とあるので、まず b はTサービスであると推測できます。

次に a と c ですが、最初の文だけだと特定するのが不安だったので、2文目を読みます。2文目はTサービスのリソースにアクセスできる理由の説明です。
c が a に権限を与えているためとありますが、ちょっとよく分かりません。。（正直この時点では a が利用者だと思ってしまいました。。）しかし4文目を見ると a の実装者が決定すると書いてあるので、 a がSサービスとなります。

※改めて考えてみると、T-IDを持っている利用者がSサービスにログインしたいとき、自ら、Tサービスの自分の情報を使っていいですよの権限をSサービスに付与しているので、 a がSサービス、 c が利用者であることが分かります。

(4)α. (え)

解説
図2を見ると(え)の処理内容に権限付与の確認とあるので、(え)が答えとなります。

設問2

(1)d. ウ　e. ア

解説
図4でd、eの周辺の流れを見てみると、以下の通りです。

1. 攻撃者がTサービスから認可コードを受け取る
2. 攻撃者がdを利用者に送る
3. 利用者がdをSサービスに送る
4. SサービスがTサービスにeを送る
5. TサービスがSサービスにアクセストークンを送る

ここからは、図2を参考に考えていきます。5が図2の(く)と同じ処理であるため、4のeにはアクセストークンが入ることが分かります。また、(き)の前の(か)では利用者から認可コードを受け取っています。そのため、3は図4の(か)に相当する認可コードをSサービスに送る処理となり、dには認可コードが入ることが分かります。

(2)ファイルのアップロード：攻撃者
　ファイルのダウンロード：攻撃者

解説
図4において、利用者が罠サイトへのアクセスをすると攻撃者はSサービスと利用者の間で中継を行い、利用者はSサービスと通常通り通信しているつもりですが、実は攻撃者のアカウントでログインをさせられています。そのため、利用者が攻撃者のアカウントでファイルをアップロードするため、攻撃者が攻撃者のアカウントでファイルをダウンロードできてしまいます。

(3)β. (い)　γ. (か)

解説
(i)”Sサービスは、stateパラメタを β を送信する際に付与”
(ii)”Sサービスは γ を受信する際に（省略） β セッションと同じであるか確認”
とあるので、(ii)より、利用者とSサービスの通信のいずれかがβ、γに入ると推測できます。
また、(i)より、βはSサービスからの送信時であることが分かります。ここでβはSサービスから利用者へ認可の要求をしている（い）に絞られます。

次にγですが、それぞれの通信における要求先、要求元を図2と図4で明確にすることで答えを導くことができます。

まず認可の要求先は、図2：利用者セッション　図4：攻撃者セッション
利用開始の要求元は、図2：利用者セッション　図4：攻撃者セッション
認可コードの要求元は、図2：利用者セッション　図4：利用者セッション

つまり、Sサービスから見た認可の要求先と比較して、攻撃を暴くことができるのは認可コードの要求元なので、γには（か）が入ります。

設問3

(1)(エ)

解説
(エ)の権限さえ付与されれば、利用者認証ができるので答えは(エ)となります。

(2)S認証モジュールに利用者IDとパスワードを登録していないS会員

解説
三つ目の問題は、Tサービスが利用できないときにS認証モジュールだけで認証すると発生します。S会員のうち、S認証モジュールで認証できるのは、S認証モジュールに利用者IDとパスワードを登録している既存のS会員のみです。問題では、S認証モジュールで認証できない会員について聞かれているので、上記の逆を記述すればよいということです。