【登録セキスペ３問】MITB対策「トランザクション署名」（情報処理安全確保支援士試験）

トランザクション署名は、ハッシュ値やデジタル署名と同じ。「内容が改ざんされているかを検証できる」に尽きます。

インターネットバンキングにおける中間者攻撃であるMITB（Man-in-the-Browser）攻撃への対策はどれか。

ア：送金時に接続するWebサイトの正当性を確認できるように、EV SSLサーバ証明書を採用する。
イ：送金時において、利用者の入力情報と金融機関の受信情報に差異がないか検証できるようにトランザクション署名を利用する。
ウ：ログイン認証にて、一定時間毎に変更されるワンタイムパスワードは導入する。
エ：バンク利用時の通信をSSLではなくTLSにて暗号化するようWebサイトを設定する。

中間者攻撃は、通信経路上（やブラウザ）にて不正が行われます。MITB攻撃は中間者攻撃の1種です。午後問題で、攻撃名を問われてたらとりあえず書いてもOKなぐらい頻出用語です。

なお、SSLとTLSは区別しないでOKです。元々SSLが開発され、標準化されTLSになりました。問題文でSSL, TLS, SSL/TLSと書かれていても同じものと思って大丈夫です。

ネットバンクにおけるMITB攻撃の不正送金対策で使われるトランザクション署名の説明はどれか。

ア：送金取引をする時、バンクから利用者に送金用のワンタイムパスワードを送信する。
イ：デジタル証明書を利用者認証に用いることで、ログインパスワードが漏えいした際の不正ログインを防止する。
ウ：利用者が送金取引する時、入力端末とは別の装置に送金情報を入力して得た値もバンクに送信する。
エ：バンクにログインする時、一定時間だけ有効なワンタイムパスワードを算出して使う。

正当な利用者である証明書は「クライアント証明書」、正当なサーバである証明書は「サーバ証明書」です。午後問題で記述に困ったら、とりあえず書いてみてOKなレベルで使える言葉です。

ネットバンクで取引する時に、ハードウェアトークンによってトランザクション署名を発行する。次の(4)によってできることはどれか。なおハードウェアトークンは利用者ごとに異なる。
【処理】
(1)ハードウェアトークンに振込先口座番号・振込金額を入力し、メッセージ認証符号（MAC）を得る。
(2)バンクのWebサイトに、振込先口座番号・振込金額・MACを入力して送信ボタンを押す。
(3)Webサイト側では、振込先講座番号と振込金額からMACを生成する。
(4)Webサイト側で、利用者から送られてきたMACと、(3)で生成したMACを比較する。


ア：通信経路上で盗聴が行われているか確認できる。
イ：通信経路上での盗聴者を特定できる。
ウ：振込先口座番号・振込金額が改ざんされていないことを確認できる。
エ：振込先口座番号・振込金額の改ざん箇所を訂正できる。