ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

問13 MITB 対策のトランザクション署名

情報セキュリティ​マネジメント試験 令和元年度 秋期 午前、全50問のうちの問13。

出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問13

インターネットバンキングでの MITB 攻撃による不正送金について，対策として用いられるトランザクション署名の説明はどれか。

  1. ア携帯端末からの送金取引の場合，金融機関から携帯端末の登録メールアドレスに送金用のワンタイムパスワードを送信する。
  2. イ特定認証業務の認定を受けた認証局が署名したディジタル証明書をインターネットバンキングでの利用者認証に用いることによって，ログインパスワードが漏えいした際の不正ログインを防止する。
  3. ウ利用者が送金取引時に，送金処理を行う PC とは別のデバイスに振込先口座番号などの取引情報を入力して表示された値をインターネットバンキングに送信する。
  4. エログイン時に，送金処理を行う PC とは別のデバイスによって，一定時間だけ有効なログイン用のワンタイムパスワードを算出し，インターネットバンキングに送信する。
答えと解説を開く

正解はウです。

MITB 攻撃では、PC のブラウザに入り込んだマルウェアが、利用者がログインしたあとに、送金先の口座や金額をこっそり書き換えます。画面には利用者が入力したとおりの内容が出るので、利用者は気付けません。ログインそのものは本人が正しく行っているので、ログインの認証を強めても防げません。トランザクション署名では、利用者が振込先の口座番号などを、PC とは別の機器 (トークンなど) に入力し、その取引の内容から作られた値を銀行に送ります。銀行は受け取った取引の内容から同じ計算をし、値が合わなければ書き換えられたと判断します。マルウェアは別の機器の中までは手が出せないので、改ざんに気付けます。正解はウです。

ほかの選択肢が違う理由

  • ア送金用のワンタイムパスワードをメールで送るだけでは、パスワードが取引の内容と結び付いていません。PC の中で送金先が書き換えられても、利用者がそのパスワードを入れれば送金が通ってしまいます。
  • イディジタル証明書による利用者認証は、ログインのときの本人確認を強める対策です。ログインのあとに取引を書き換える MITB 攻撃は防げません。
  • エログイン用のワンタイムパスワードは、パスワードの盗用による不正ログインを防ぐ対策です。正しくログインしたあとに起きる MITB 攻撃の書き換えは防げません。

仕組み

MITB (Man-⁠in-⁠the-⁠Browser) は、ブラウザの中に入り込む攻撃です。通信路を暗号化していても、暗号化の前にブラウザの中で書き換えられるので、TLS では防げません。

守りの要点は、取引の内容を、マルウェアの手が届かない別の機器で確かめることです。ログインの強さではなく、取引そのものの正しさを確かめます。

この問に出る言葉