情報処理安全確保支援士 2017年 春期 午後I 問題

共通の文章

問2 Webサイトのセキュリティ対策に関する次の記述を読んで,設問13に答えよ。 E社は,従業員数200名の情報サービス事業者である。E社は,3年前からWebサ tha(以下,サイトeという)を利用して,次のような機能をもつ会員制の飲食 店情報提供サービスを行っている。 ・飲食店情報の検索 ・飲食店情報に関する掲示板での投稿 ・新規登録情報の,会員への電子メール(以下,メールという)による通知 サイトに対する脆科性修正プログラムの適用や,コンテンツ作成などの日々の 作業は,情報提供サービス担当チームが行っている。チームはリーダのQさんと5 名のメンバで構成されている。サイトegで稼働しているWebアプリケーションソフ トウェアは,情報提供サービス担当チームがベンダに開発と保守を委託している。 サイトegの画面遷移図を図1に,画面遷移の仕様を表1に示す。 変更変更完了 入力・変更確認登録完了 注記1ログインページ以外からのマイページへの画面遷移,エラー時の画面須移,画面戻るた めの須移,ログアウトの画面居移は省略している。 注記2全画面とも同一ドメイン(wwwe-sha.cojp)で提供されている。 図1サイトwの画面遷移図(抜粋) 3 Ws 表1サイトcの画面遷移の仕様(抜粋) 画面PCでの操作例,URL (あ)|操作例:利用者ID(Hil:user0302)|・user idと,passwdのハッシュ値がサイトcgに とパスワード(fil:aBcD1234)を入|登録されたものと同じ場合,新しいセッション Ab,ログインボタンを押す。ID SESSIONID)とセッションオブジェクト URL:https:/Avww.e-sha.co.jp/loginが取得され,マイページが表示される。 POSTデータ:action_id=login&user_|JSESSIONIDはCookieに格納される。それ以 id=user0302&passwd=aBcD1234外の場合,セッションIDとセッションオブジ ェクトは取得されず,ログインページに戻る。 ・ログイン記録(利用者IDと時刻)が取得され る。 (い)|操作例:現在のパスワード(例:aBc|・次を全て満たす場合はパスワードが D1234)と新しいパスワード(fil:a]new passwd1の値に変更され,次画面が表示さ BcD5678)を入力し,変更ボタンを|NS, 押す。新しいパスワードは確認のた|-old passwdのハッシュ値が,.サイトeに登録 めに,2回入力する。された現在のセッションをもつ利用者のパス URL:https://www.e-sha.co.jp/member/ワードのハッシュ値と同じである。 changepasswd-old_passwdとnew_passwdlの値が異なる。 POSTデータ:action id=submit&old-new_passwdlとnew_passwd2の値が同じ _passwd=aBcD1234&new_passwdl=aで,かつ,定められた複雑さを満たす。 BcD5678&new_passwd2=aBcD5678・それ以外の場合はパスワードが変更されず,エ ラー画面が表示される。 (う)|操作例:名前(例:Bob)とコメント|・nicknameとcommentに入力された値がセッシ (Bl:よろしく)を入力し,確認ボョンオブジェクトに格納され,次画面が表示さ タンを押す。れる。profile tokenが生成されてセッションオ URL:https://www.e-sha.co.jp/member/ブジェクトに格納され,profile token(il:CA profile CC321A638BBC11DE9352EB8D5E56A3)がプ POSTデータ:action id=confirm&nicロフィール確認画面のhiddenに格納される。 kname=Bob&comment=%E3%82%8|・プロフィール入力・変更画面では一部の 8%E3%82%8D%E3%81%97%E3%8 HTMLの要素の入力が許可されている。(許可 1%8F”されている要素:b,font,i,s,sub,sup, u) ・コメントにURLを記載するとリンクとして表 示される。 (A)|操作例:退会理由(例:特になし)|・taikai messageに入力された値がセッションオ を入力し,退会確認ボタンを押す。ブジェクトに格納され,次画面が表示される。 URL:https://www.e-sha.co.jp/member/|taikai token(例:B582DF03524FBB9DBCCE0 taikai BA0610F2EA1)が生成されてセッションオブ POSTデータ:action id=confirm&taiジェクトに格納され,退会確認画面のhidden kai message=%E7%89%B9%E3%81%|に格納される。? AB%E3%81%AA%E3%81%97? ーー9とーー Rlサイトocの画面遷移の仕様(抜粋)(続き) 画面PCでの操作例,URL (お)|操作例:退会ボタンを押す。・taikai tokenの値がセッションオブジェクト内 URL:https://www.e-sha.co.jp/member/の値と同じ場合,退会処理が行われ,次画面が taikai表示される。違う場合,退会処理が行われず, POSTデータ:action id=submit&taik|エラー画面が表示される。 ai token=B582DF03524FBB9DBCCE|・退会処理時にセッションIDとセッションオプブ 0BA0610F2EA1ジェクトが無効にされ,ログアウトされる。 SE)“よろしく”をURLエンコードした値 注2“特になし”をURLエンコードした値 注?taikai tokenの値が0になることはない。 [利用者からの問合せ] ある日,サイトeの利用者L AMS,“今朝9時にログインし,サイトcを利用し ていたら,10時に急にログアウトさせられ,その後ログインできなくなった。パス ワードを再設定しようとしたが,エラーが表示され,再設定できない。”という内容 のメールがE社宛てに届き,他にも同様の問合せが数件来た。 情報提供サービス担当チームのXさんがサイトcの会員情報データベースにアク セスし,L氏の情報を確認したところ,退会処理が完了していた。Xさんは,誰かが 嫌がらせ目的でL氏のアカウントで不正ログインし,退会処理を行った可能性を疑 った。①Xさんは,L氏に詳細な利用状況を確認し,その確認内容とログイン記録を 照合した結果から,L氏のアカウントは少なくとも今日は不正ログインされていない との結論に至った。 Xさんが,ログインできなくなる前にどのような操作をしたかをL氏に聞いたと ZA,サイトgw内の掲示板に投稿していた人のプロフィール画面を見て,そこに記 載されていたリンクをクリックしたとのことであった。リンク先は,別サイトの URL CHV,PO,Xさんが確認した時点ではリンク先は既に削除されていた。 Xさんは,今回の事象が起きたのはサイトgwに脆表性があるからかもしれないと考 A,セキュリティ専門業者]社にWebアプリケーションソフトウェアの脆弱性検査 (以下,WebAP検査という)を依頼することにした。WebAP検査の結果,脆弱性が ニニつ(以下,脆弱性1,脆弱性2という)検出された。 〔脆弱性1について] 脆弱性1は| 』|の脆弱性であった。脆慌性1を確認した手順を表2に示 す。 表2脆弱性1を確認した手順 1|HEY(A)を行った後,画面|action id=submit&taikai token=B582DFO|退会完了 2%(お)を試みる3524FBB9DBCCEOBA0610F2EA1" 2|WEY(A)を行った後,画面|action id=submit&taikai token=0エラー画面 EB(お)を試みる 3|MME(A)を行った後,画面|action id=submit退会完了 遷移(お)を試みる 4|EM(A)を経ずに,ログイ|action id=submit&taikai token=0エラー画面 ン後すぐに画面乱移(お)に相当 するアクセスを試みる 5|画面遷移(え)を経ずに,ログイ|action id=submitエラー画面 ン後すぐに画面大移(お)に相当 するアクセスを試みる 注!画面遷移(え)で生成されたtaikai tokenの値とする。 Rik,Xさんが社の情報処理安全確保支援士K氏から,脆弱性1についての報 告を受けた時の会話である。 Xさん:開発委託時の要件に|』|の脆弱性への対策を含めていたので,KB 性1の対策はできていると思っていました。 KK :対策を試みたけれど,プログラムの実装に不備があったようです。プロフ ィール確認画面についても脆到性1が確認されています。 双さん:そうですか。退会処理が行われてしまった利用者がクリックしたリンク先 はどのようなものだったのでしょうか。 KK:例えば,2のようなHTMLです。このHTMLは,表2中の項番 |b|]のようぅな動作をWedブラウザにさせます。 Xさん:変更操作がある画面のうち,パスワード変更画面そもそも[| 。|] の脆弱性への対策をしていませんが,問題ありませんかが。 K氏:パスワード変更画面では表1にあるように,を入力させる仕様 です。は攻撃者が|d ]情報でもることを前提としてよ いので,問題ありません。画面遷移(お)のような実装の不備もないよう でした。 1<html> 2<head> 3<meta http-equiv="Content-Type”content="text/html;charset=utf-8"> 4</head> 5<body> 6<iframe src="ifrm1.htmU”width="1”height="1”name="ifrm1”></iframe> 7<iframe src="ifrm2,html”width="1”height="1"name="ifrm2”></iframe> 8<form target="ifrm1”method="POST”action="https://www,e-sha.co.jp/member/taikai”> 9<input type="text”name="action_id”value="[_e|]? 10<input type="text”name="taikai_message”value=”0K”> 11<input type=”"submit”> 12</form> 13<form target="ifrm2”method="POST”action="https://www.e-sha.co.jp/member/taikai”> 14<input type="text”name="action_id”value="[__f|” 15<input type="submit”> 16</form> 17<script>setTimeout(’document.forms[Q].submit()’,0);</script> 18<script>setTimeout(’document.forms[1].submit()’,1000);</script> 19</body> 20</html> 図2退会処理が行われてしまうHTML [脆弱性2について〕 脆弱性2は"クロスサイトスクリプティング"”であった。脆弱性2を確認したの はプロフィール入力・変更画面でわった。次はK氏と又さんとの会話である。 K氏:プロフィール入力・変更画面は,利用者が入力できるHTMLの要素が制限 されています。しかし,例えば“o>”タグ中に,②特定の剛性を指定する ことによってスクリプトの実行が可能です。スクリプト実行の結果, Cookieの属性の設定によっては,Cookieの情報が盗まれます。これを用い て,|gz|]が行われ,勝手にプロフィールを閲覧されたり,変更され たりするおそれがあります。 XXさん:そういうことですか。では,利用者が入力できるHTMLの要素の制限は変 ast,|h|]という仕様に変更したいと思います。 K氏:それで問題ありません。 Xさんは,二つの脆弱性について,対策をベンダに依頼した。対策後,」社に WebAP検査を依頼し,問題がながいことを確認した。Xさんは,リリース前のWebAP 検査の義務化をQさんに提案し,採用された。

共通の文章

間3クラウドサービスの認証連携に関する次の記述を読んで,設問13に答えよ。 F社は,従業員数300名のソフトウェア開発会社である。F社では,社外のクラウ ドサービスを試行的に導入し始めており,交通費精算サービス,グループウェアサ ービス,オンラインストレージサービスの三つを現在利用している。これらのクラ ウドサービスには,各クラウドサービスの利用者IDとパスワードを用いてログイン する。これらのクラウドサービスは,社内からの利用に限定するという社内ルール を定めている。 従業員が利用する端末は,社内ネットワークに設置されており,ウイルス対策ソ フトが導入され,最新のウイルス定義ファイルが毎日適用されている。社外から社 内ネットワークへの通信はファイアウォールによって禁止されている。端末からク ラウドサービスを利用する際には,プロキシサーバを経由する必要がある。 [クラウドサービスへの不正アクセス] HSA,交通費精算サービスで従業員の振込先口座が勝手に変更されたとの相談 が,経理部から情報システム部のC主任にあった。Rさんの振込先口座が社指定 の銀行以外の口座に変更されていたので,Rさんに確認したところ,本人による変更 ではないことが分かったとのことであった。 C主任は,社外の攻撃者による不正アクセスの可能性を考え,交通費精算サービス に記録されているログイン記録を調査した。F社で利用しているクラウドサービスで はログイン記録として,アクセス日時,利用者ID,接続元IPアドレス,接続先 URLが記録されている。調査の結果,Rさんの利用者IDによるログイン記録には, 接続元Pアドレスとして,F社のIPアドレス以外に,海外のIPアドレスが一つあ った。Rさんに話を聞いたところ,このログインには心当たりがないということであ った。Rさんに更に詳しく話を聞いたところ,4月9日に交通費精算サービスから登 録情報の確認を促す電子メール(以下,メールという)が1通,Rさんの私用メール アドレスに届いており,Rさんが4月10日にそのメールを自宅で読み,記載内容に 従って自宅からログイン操作を行ったことが分かった。そのメールをRさんから転 送してもらい,C主任がメールに記載されていたURLを確認したところ,交通費精 算サービスを模したフィッシングサイトであった。C主任はこのフィッシングサイト 上騒,二 から利用者IDとパスワードが盗まれた可能性が高いと判断した。そこで,Rさんが パスワードを使い回している可能性も考慮して,他のクラウドサービスに対するR さんのログイン記録も調査した。その結果,他のクラウドサービスに対するRさん の利用者IDを用いたログインは,F社からのものだけであることを確認した。 今回は金銭的な損害に至らなかったが,情報システム部のB部長は早急な対策が 必要と考え,C主任に暫定対策の実施と根本的な対策の検討を指示した。 暫定対策の実施と根本的な対策の検討] C主任はまず,暫定対策として三つの対策を行うことにした。第一に,フィッシン グメールに注意するよう従業員に周知した。第二に,F社で利用している各クラウド サービスに対するログイン記録をC主任が調査して,OF社以外からのログインが あった利用者IDを特定し,その利用者IDを利用する者にはパスワードを変更させ ることにした。第三に,F社以外からのログインを検知できるよう,ログイン記録の 監視を行うことにした。(C主任は暫定対策が完了したことを確認し,根本的な対策の 検討を開始した。 C主任は,今回の不正アクセスの原因の一つが,F HO IPアドレス以外からクラ ウドサービスへのログインが可能になっていたことにあると考え,F社のTPアドレ ス以外からのログインを制限することが可能か調査した。F社で利用しているクラウ |ドサービスのうち,グループウェアサービスだけは,接続元TPアドレスを制限する 機能を備えていたので,その機能を有効化し,社内からだけログインできるように 設定した。しかし,残りのクラウドサービスは接続元IPアドレスの制限機能を備え ていなかった。 C主任は,接続元を制限する他の方法を検討した。その結果,クラウドサービスへ ログインする際,社に既に設置してあるLDAPサーバでの認証を必要とすることに すれば,接続元を制限できるようになると考えた。そこで,F社で利用しているクラ ウドサービスを調べたところ,全てSAML(Security Assertion Markup Language)を 用いた認証連携に対応していることが分かった。C主任は,クラウドサービスと LDAPサーバとの間で,SAMLを用いた認証連携による接続元の制限を検討すること だした。 ー15一 [SAMLを用いた認証連携と接続元制限方式の概要〕 SAMLは,認証,認可などの情報を安全に交換するためのフレームワークである。 SAMLを用いることによって,利用者にサービスを提供するサービスプロバイダ(以 下,SPという)と,IDプロバイダ(以下,IdPという)との間で利用者の認証結果 などの情報を安全に連携することができる。SAMLには複数の処理方式が存在する。 今回F社で導入を検討している方式のシーケンスを図1に示す。図1中の各通信の プロトコルは,IdPとLDAPサーバ間はLDAP CHV,それ以外はHTTP over TLS である。 (1)サービス要求 (2)リダイレクト指示(3)ログイン画面要求 | (5)認証要求(6)認証要求 (7)認証結果を応答 (8)SAML Responseの _送信フォームを応答 (9)SAML Responseを送信 (10)サービス提供 Bll導入を検討している方式のシーケンス SAMLを用いた認証連携を行うためには,事前にIdPとSPとの間で様々な情報を 共有することによって,信頼関係を構築しておく必要がある。事前に共有する情報 としては,通信の方式や連携する属性情報などが記述されたメタデータ, | 。|で生成して送出するURL,において必要なIdPのディジタル 証明書などがある。 1中の処理1こ4の処理内容を表1に示す。 表1処理内容 処理1・IqdPに認証を要求するSAML Requestを生成する。 ・SAML Requestをエンコードする。 ・エンコード結果をIdPのログイン画面のURLと組み合わせて,リダイレクト先 URLを生成する。 処理2|・URL内の|gz|]5 SAMLRequestを取得する。 ・信頼関係が構築されたSPからの認証要求であることを検証する。 処理3・利用者の認証が成功した場合,認証結果やSPとの間で連携する属性情報,有効其 fl,それらの情報に対するディジタル署名を含めたSAML Responseを生成する。 処理4・SAML Responseに含まれるディジタル署名を検証することによって,ディジタル 署名が|jn|によって署名されたものであること,及びデータの |ji|がないことを確認する。 ・SAML Response内の属性情報も検証することによって,サービスを提供すべきか 決定する。 C主任は図1のシーケンスから,OldPを社内ネットワークに設置しても認証情報 の連携が成立することを確認した。そこで,IqPは社内ネットワークに設置し,IdqP のログイン画面のURLのFQDNには,社内のFQDNを割り当てることにした。 [SAMLを用いた認証連携と接続元制限の動作検証] 最後にC主任は,F社で利用しているクラウドサービスを用いて,SAMLによる 認証連携の動作を検証することにした。C主任はIGPを社内ネットワークに設置して 必要な設定を行い,各クラウドサービス上に,既に利用しているものとは別の検証 用アカウントを作成し,社内からのクラウドサービスへのログインが可能であるこ とを確認した。また,③社外からクラウドサービスへのログインを試みると,失敗 することも確認した。 C主任は検証結果をB部長に説明し,承認を得て,SAMLを用いた認証連携と接 続元制限を開始した。また,シングルサインオンも併せて実現したことによって, クラウドサービスを利用する従業員の利便性も向上させることができた。