セキュリティ実装技術

要点と定義

セキュリティ実装技術では、脅威と守る対象に応じて対策を選び、その仕組みと効果を理解します。提示されたシラバスの分類は、セキュアプロトコル、認証・認可、ネットワーク、データベース、アプリケーションなどの対策を扱います。リバースプロキシ、DKIM、SQLインジェクション対策のプレースホルダは、提示されたシラバスの用語例にあります。

SQLインジェクション対策では、SQL文の構造と入力値を分離します。プレースホルダへ値をバインドすると、その値はSQL構文として再解釈されず、条件式の比較対象になります。SQL方言によって構文や細部は異なりますが、値をSQL文字列へ連結しないことが前提です。

ブロックチェーンのブロック間では、直前のブロックのヘッダのハッシュ値を次のブロックに含め、連鎖の改変を検出できます。これは個々の取引が妥当かを確認する処理とは別です。過去の出題で扱った補足です。

暗号処理時の消費電力など、装置から漏れる情報を観察して秘密情報を推定する攻撃をサイドチャネル攻撃といいます。処理に伴う漏えい情報が判断の手掛かりです。過去の出題で扱った補足です。

デジタル署名は送信者の秘密鍵で作成し、対応する送信者の公開鍵で検証します。検証は署名とメッセージの整合性を確認する処理です。署名方式を問わず、署名から常に生のダイジェストを取り出せるとは限りません。この鍵の役割の区別は過去の出題で扱った補足です。

前方秘匿性は、長期秘密鍵が後に漏えいしても、過去のセッション鍵を再現できない性質です。セッション鍵そのものが漏えいした場合を防ぐ意味ではありません。過去の出題で扱った補足です。

リバースプロキシは、外部クライアントから公開サーバへの要求をサーバ側で中継します。提示されたシラバスの用語例にあり、過去の出題でも中継の方向が判断点となりました。

コードサイニング証明書は、署名付きソフトウェアの署名者や発行元の確認に使われます。これは過去の出題で扱った補足であり、提示されたシラバスの用語例に明記された項目とは区別します。

DKIMは、メールに付された署名を受信側が検証し、署名対象の改変を検知する仕組みです。検証に成功しても、表示上のFromドメインが正しいとは単独で確定しません。DKIMは提示されたシラバスの用語例にあり、この限界は過去の出題で扱った補足です。

OSコマンドインジェクションは、入力がOSコマンドとして解釈され、意図しない処理につながる問題です。シェルを起動する言語機能を使う実装を避ける対策が、過去の出題で扱われました。

適用条件と例

SQL文 SELECT role FROM account WHERE name = ? のプレースホルダに、文字列 ' OR 'x'='x を一つの値としてバインドするとします。値を文へ連結しない条件では、述語は name がその文字列と等しいかを判定します。OR を含むSQL条件としては解釈されません。SQLのNULLは通常の等号比較では判定できないため、NULL判定には別の書き方が必要です。実際の構文や挙動は利用するSQL方言に従います。