令和5年度 I-2-1

解説

この問題で問われていること

パスワード管理、PINコード、生体認証、多段階・多要素認証、無線LANの暗号化方式(WEP)に関する5つの記述のうち、最も適切なものを選ぶ問題。

解き方

① 近年の考え方(NISTなど): 複雑で使い回しのないパスワードなら、流出などがなければ定期変更は不要
② ②PINは誤入力ロックで実用的、③生体認証も偽造で破られ得る、④安全性は段階数より要素の種類(二要素の方が安全)、⑤WEPは解読法が知られていて危険
③ ①

正解が正しい理由

近年のセキュリティに関する考え方(NIST(米国国立標準技術研究所)のガイドライン等)では、十分に複雑で使い回しのない(他のサービスと共通化していない)パスワードを設定していれば、流出などの明らかな危険な事案が確認されない限り、定期的な変更を強制する必要はなく、むしろ頻繁な変更は利用者が単純なパスワードを使い回す原因になり逆効果になり得るとされている。したがって①の記述は現在の情報セキュリティの考え方と一致しており、これが正答である。

各選択肢について

• ① 十分に複雑で使い回しのないパスワードであれば、明らかな危険な事案がない限り定期的な変更は不要であるという記述は、近年の情報セキュリティのガイドラインと一致しており、これが正答。
• ② PINコードは総当たり攻撃に桁数の点で弱いが、多くのシステムでは誤入力ロック対策があり実用上の安全性が確保されているため、「使うべきでない」と一律否定する記述は不適切。
• ③ 生体認証は偽造指紋や写真・動画によるなりすまし(スプーフィング)で本人がいなくても突破される可能性があり、「本人がいなければ成功しない」と言い切るのは誤り。
• ④ 認証の安全性は「段階数」より「要素の種類の多さ」に左右され、同一要素の二段階より異種要素を組む二要素認証の方が安全とされることが多く、この優劣関係は一般に誤り。
• ⑤ WEPは解読方法が広く知られた脆弱な暗号方式であるため、古いアクセスルータでも使い続けることは安全とは言えず、誤り。

覚えるべきポイント

情報セキュリティのベストプラクティスは年々更新されており、「パスワードは定期的に変更すべき」という古い慣習は、十分に複雑で漏洩していないパスワードであれば必ずしも当てはまらないとされている。また、認証の安全性は段階数ではなく要素の種類の多さで評価される点、生体認証やPINにも固有の弱点がある点、WEPのような古い暗号方式は使い続けても安全ではない点も押さえておく。