HOME»情報処理安全確保支援士掲示板»過去問  平成31年春午後I問2の設問2(3)
投稿する

過去問  平成31年春午後I問2の設問2(3) [1303]

 カサさん(No.1) 
私も解説になかなか納得できず、質問させてください。解説できる方がいっしゃれば大変感謝いたします。

オリジンを比較するには、オリジンというのはドメイン、プロトコル、ポート番号です。これは中間者がDNSキャッシュポイズニング攻撃をし、偽のWebサーバも用意して、ユーザが入力したドメインを偽webサーバに誘導したら、オリジンを偽造できると思います。ただのオリジンを比較には対策にならないと思う。
それから、秘密鍵入手できず、再署名できないという説に対して、ただの盗聴で、改ざんせずそのまま署名データを転送するには攻撃できるじゃないか?

他の方が議論した履歴
https://www.sc-siken.com/bbs/0465.html?ssp=1&setlang=en&cc=JP&safesearch=moderate#sendform
2024.01.04 04:21
pixさん(No.2) 
SC ダイヤモンドマイスター
この問題は以前から何度も議論されておりますが、完璧な説明はでていません。
したがって以下は想定・推論になります。
・このフローはWebAuthnのフローである
・認証サーバXはHTTPSのみサポートしている(セキュリティの観点からHTTPは
  サポートしないと想定される)

認証サーバXはHTTPSのみのサポートなので、中間者攻撃でオリジンのプロトコルを
完全に偽装することは不可能です。
理由ですが、中間者は正規の証明書を所持していないので、証明書を利用した
TLS(HTTPS)のハンドシェイクが正常に行えないからです。

仮に中間者がHTTPSではなくHTTPで通信を行ったとしても、最後のオリジンの
一致の確認の際にプロトコルがHTTPとHTTPSで一致せず、認証が失敗すると
いうものです。

秘密鍵についての説ですが、こちらはよくある誤答と思われます。
2024.01.04 07:46
 カサさん(No.3) 
ご丁寧に解説していただいてありがとうございます。
完璧な解説なくても教えてくださった推論のペースでHTTPSでオリジンの偽造はできなくなるのは理解しました。スッキリしました。感謝いたします。
2024.01.04 19:58

返信投稿用フォーム

スパム防止のためにスレッド作成日から30日経過したスレッドへの書込みはできません。
© 2014-2024 情報処理安全確保支援士ドットコム All Rights Reserved.

Pagetop