ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

問7 パスキーと生体情報

情報処理​安全確保​支援士 令和6年度 秋期 午前II、全25問のうちの問7。

出典：令和6年度 秋期 情報処理安全確保支援士試験 午前II 問7（選択肢の表を文に組み直した）

ある IdP（Identity Provider）は，パスキー（Passkey）認証をサポートしており，利用者 A は，この IdP の FIDO 認証器として，自分のスマートフォンの生体認証機能を登録してある。また，Web サーバ B は，この IdP を使ってログインが可能である。利用者 A の Web ブラウザから Web サーバ B にアクセスする際，利用者 A の生体情報を受信するもの，受信しないものの組合せのうち，適切なものはどれか。

  1. ア利用者 A の Web ブラウザ 受信しない，Web サーバ B 受信しない，IdP 受信しない
  2. イ利用者 A の Web ブラウザ 受信しない，Web サーバ B 受信する，IdP 受信する
  3. ウ利用者 A の Web ブラウザ 受信する，Web サーバ B 受信しない，IdP 受信しない
  4. エ利用者 A の Web ブラウザ 受信する，Web サーバ B 受信する，IdP 受信する
答えと解説を開く

正解はアです。

パスキー (FIDO 認証) では、生体認証は利用者の手元の認証器、この問題ではスマートフォンの中だけで行います。スマートフォンは、指紋や顔が登録した本人と一致したら、中にしまってある秘密鍵で IdP からの問いかけ (チャレンジ) に署名し、その署名だけを送ります。生体情報そのものは、スマートフォンの外へ出ません。Web ブラウザも Web サーバ B も IdP も受信しないので、正解はアです。

ほかの選択肢が違う理由

  • イWeb サーバ B と IdP も生体情報を受け取りません。IdP が受け取るのは署名で、Web サーバ B が受け取るのは IdP の認証の結果です。
  • ウWeb ブラウザも生体情報を受け取りません。ブラウザは、認証器と IdP の間で署名の受け渡しを仲立ちするだけです。
  • エどこも生体情報を受け取りません。生体情報はスマートフォンの中に閉じています。

仕組み

サーバの側に置かれるのは、登録のときに作った公開鍵だけです。サーバから鍵が漏れても、公開鍵ではなりすませません。また、生体情報はパスワードと違って取り替えられないので、手元から出さない作りになっています。

パスキーの鍵は、登録したサイトのドメインに結び付いています。見た目をまねた偽のサイトでは鍵が使われないので、フィッシングに強いのも特徴です。

この問に出る言葉