復習問題 2026-09-19
今日からフェーズ②（午後シフト）です。午後の 問1 情報セキュリティは選択の余地なく必須なので、その土台になる3問にしました。昨日のファイアウォールの続きが1問、記録に残っているつまずき（公開鍵と秘密鍵のどちらで暗号化するか）が1問入っています。
第1問 情報セキュリティ（多要素認証）
利用者認証において「多要素認証」に該当するものはどれか。
- 8文字以上のパスワードを入力させた後、さらに別の16文字以上のパスワードを入力させる。
- 利用者IDとパスワードを入力させた後、スマートフォンのアプリが表示するワンタイムパスワードを入力させる。
- 利用者IDとパスワードを入力させた後、「母親の旧姓」など秘密の質問への答えを入力させる。
- 指紋認証に失敗した場合に、顔認証で本人確認を行う。
解答
正解：b
認証の3要素は次のとおりです。異なる要素を2つ以上組み合わせたときだけ「多要素」になります。
| 要素 | 意味 | 例 |
|---|---|---|
| 知識 | 本人だけが知っているもの | パスワード、暗証番号、秘密の質問 |
| 所持 | 本人だけが持っているもの | スマートフォン、ICカード、トークン |
| 生体 | 本人そのものの特徴 | 指紋、顔、虹彩、静脈 |
b は「知識（パスワード）＋所持（スマートフォン）」なので多要素です。
a と c はどちらも知識だけを2回聞いているだけ。回数は増えていますが要素は1つなので、これは多要素認証ではなく多段階認証です。ここが出題の狙い目で、「2回聞いているから多要素だろう」と読むと引っかかります。d も生体だけなので1要素です。
午後 問1 では「パスワードのみの認証が突破された。対策を答えよ」という流れが定番で、所持要素の追加がほぼ模範解答になります。
第2問 情報セキュリティ（ディジタル署名）
A さんが B さんへ文書を送るとき、その文書にディジタル署名を付けた。A さんが署名の生成に使う鍵と、B さんが署名の検証に使う鍵の組合せとして適切なものはどれか。
- 生成：A の秘密鍵 ／ 検証：A の公開鍵
- 生成：A の公開鍵 ／ 検証：A の秘密鍵
- 生成：B の公開鍵 ／ 検証：B の秘密鍵
- 生成：B の秘密鍵 ／ 検証：B の公開鍵
解答
正解：a
8/22・8/23 の記録に「公開鍵暗号のどちらの鍵で暗号化するかが毎回あいまい」とありました。ここは目的で決まると考えると迷いません。
| 目的 | 使う鍵（送信側） | 使う鍵（受信側） | 誰を守るか |
|---|---|---|---|
| 守秘（盗み見を防ぐ） | 受信者の公開鍵で暗号化 | 受信者の秘密鍵で復号 | 宛先を絞る |
| 署名（なりすましを防ぐ） | 送信者の秘密鍵で生成 | 送信者の公開鍵で検証 | 差出人を証明する |
覚え方は「秘密鍵は1人しか持っていないから本人証明に使う」「公開鍵は誰でも持てるから宛先を絞るのに使う」。署名はまさに本人証明なので、送信者 A の秘密鍵で作ります。検証は誰でもできてよいので、公開されている A の公開鍵で行います。
c と d は B（受信者）の鍵を使っており、これでは「B が書いた文書」になってしまいます。b は公開鍵で署名を作る形で、誰でも作れる署名には意味がありません。
なお、署名の対象は文書そのものではなく文書のハッシュ値です。これによって「改ざん検知」も同時に成立します。午前では「ディジタル署名で確認できるのは何か」→完全性と真正性（改ざんの有無となりすましの否定）、守秘性は得られない、という形でもよく問われます。
第3問 情報セキュリティ（WAF）
WAF の説明として、最も適切なものはどれか。
- パケットの送信元・宛先の IP アドレスとポート番号を、あらかじめ設定したルールと照合して通過の可否を決める。
- HTTP リクエストの内容を検査し、SQL インジェクションやクロスサイトスクリプティングを狙う通信を遮断する。
- 社内 LAN からインターネットへの通信を代理で中継し、URL フィルタリングによって業務に関係のないサイトへのアクセスを制限する。
- サーバ上のファイルやレジストリの変更を監視し、改ざんされた場合に検知して通知する。
解答
正解：b
WAF は Web Application Firewall。名前に Firewall と入っていますが、見ている層が違います。HTTP の中身（リクエストのパラメータや本文）まで読んで、Web アプリを狙う攻撃パターンを弾きます。
昨日の第3問と合わせて、守備範囲で並べると混ざりません。
| 装置 | 見ているもの | 止められる攻撃の例 |
|---|---|---|
| パケットフィルタリング型 FW | IP アドレスとポート番号 | 閉じているポートへの接続 |
| ステートフルインスペクション型 FW | 上記＋コネクションの状態 | 外部から一方的に始まる通信 |
| IDS / IPS | 通信全体の攻撃の兆候 | 検知して通知（IDS）／遮断まで（IPS） |
| WAF | HTTP リクエストの内容 | SQL インジェクション、XSS |
ポイントは、SQL インジェクションも XSS も「正規の 80/443 番ポートに対する、形式上は正しい HTTP リクエスト」だということ。だから FW では素通りします。この「FW では防げない、だから WAF」という流れが、午後 問1 で最も出やすい論点の1つです。
a は上の表のとおりパケットフィルタリング型 FW、c はプロキシサーバ（URL フィルタリング）、d は改ざん検知ツール（ホスト型 IDS）の説明です。
ただし試験でも実務でも、WAF は本来の対策の代わりにはなりません。根本対策はプレースホルダを使ったバインド機構（SQL インジェクション）とエスケープ処理（XSS）で、WAF はそれが間に合わない場合の緩和策という位置づけです。午後で「根本的な対策を述べよ」と問われたら WAF と書くと外します。