情報セキュリティマネジメント 令和元年度 秋期 午前 問13

✓ これが正解ウ 利用者が送金取引時に，送金処理を行うPCとは別のデバイスに振込先口座番号などの取引情報を入力して表示された値をインターネットバンキングに送信する。

解説

取引情報を別デバイスで値に変換して送り、改ざんを見抜く仕組みです。

MITB攻撃は、利用者のPCのブラウザに入り込んだマルウェアが、正しい操作の裏側で通信内容を書き換え、振込先や金額を攻撃者のものにすり替える攻撃です。ログイン時の認証をいくら強化しても、ログインした後の取引内容を書き換えられると防げません。トランザクション署名は、送金処理を行うPCとは別のデバイスに、振込先口座番号などの取引情報そのものを入力し、そこから計算されて表示された値をインターネットバンキングに送ります。銀行側は届いた取引内容とこの値を突き合わせるため、途中でブラウザが取引内容を書き換えると値が合わなくなり、改ざんを検出できます。取引内容と結び付いた値を使う点が、ログイン用のワンタイムパスワードとの違いです。

ほかの選択肢の解説

• ア 携帯端末からの送金取引の場合，金融機関から携帯端末の登録メールアドレスに送金用のワンタイムパスワードを送信する。：登録メールアドレスに送金用のワンタイムパスワードを送る方式は、本人確認の足しにはなりますが、その値が取引内容と結び付いていないため、振込先の書き換えは検出できません。
• イ 特定認証業務の認定を受けた認証局が署名したディジタル証明書をインターネットバンキングでの利用者認証に用いることによって，ログインパスワードが漏えいした際の不正ログインを防止する。：認証局が署名したデジタル証明書による利用者認証は、ログイン時のなりすましへの対策の説明です。ログインした後に取引内容を書き換える攻撃への対策にはなりません。
• エ ログイン時に，送金処理を行うPCとは別のデバイスによって，一定時間だけ有効なログイン用のワンタイムパスワードを算出し，インターネットバンキングに送信する。：ログイン時に別のデバイスで一定時間だけ有効なワンタイムパスワードを算出して送る方式は、ログイン認証の強化です。値が取引情報と無関係なので、送金内容の書き換えは見抜けません。