令和4年春期試験 午後Ⅰ 問3 - 解説
出題趣旨
近年，スマートフォンを用いた決済において不正利用事件が多発している。IPAが公開している“情報セキュリティ10大脅威”の個人部門では“スマホ決済の不正利用”が2020年度，2021年度で1位となっており，サービス提供者による対策が望まれている。本問では，スマートフォン向けQRコード決済サービス用プログラムの開発を題材として，不正利用が発生するリスクとサービス提供者での対策について，セキュリティの観点での対応力を問う。
近年，スマートフォンを用いた決済において不正利用事件が多発している。IPAが公開している“情報セキュリティ10大脅威”の個人部門では“スマホ決済の不正利用”が2020年度，2021年度で1位となっており，サービス提供者による対策が望まれている。本問では，スマートフォン向けQRコード決済サービス用プログラムの開発を題材として，不正利用が発生するリスクとサービス提供者での対策について，セキュリティの観点での対応力を問う。
設問1
- a: イ
- b: ア
〔abについて〕
設問では、「身元確認」と「当人認証」という2つの概念が、それぞれQサービスのどの機能に対応するかを判断します。問題文中には両者の定義が示されており、経産省の「オンラインサービスにおける身元確認手法の整理に関する検討報告書」でも同じ考え方が採られています。
まず、身元確認は「登録する氏名・住所・生年月日等が正しいことを証明／確認すること」と定義されています。これは、その人物が実在する特定の本人であるかどうかを確認する行為です。報告書でも、身元確認は公的身分証などを用いて「実在する本人かどうか」を確かめる手法とされており、属性情報の正しさを確認する点が肝要です。
表1の機能の説明を見ると、"アカウント作成"では氏名、生年月日、携帯電話番号といった利用者の属性情報を登録すると記載されています。ここで登録される情報が正しい本人のものであることを確かめるのが身元確認ですから、身元確認を行う場面はアカウント作成時だとわかります。したがって、空欄aは「アカウント作成」に対応します。
一方、当人認証は「認証の3要素のいずれかの照合で，その人が作業していることを示すこと」と定義されています。報告書でも、当人認証はID・パスワードや端末、生体認証などを使って「今操作している人が、そのアカウントの利用者本人であること」を確かめる手法と説明されています。
認証の3要素とは、知識情報（パスワードやPINコードなど)、所持情報（スマートフォンやICカードなど)、生体情報（指紋や顔など）です。表1を見ると、「Qサービスへのログイン」では「利用者IDとパスワードでQサービスにログインする」とあり、これは認証の3要素のうち知識情報を使った典型的な当人認証の例です。したがって、空欄bは「Qサービスへのログイン」に対応します。
∴a＝イ：アカウント作成
b＝ア：Qサービスへのログイン
設問では、「身元確認」と「当人認証」という2つの概念が、それぞれQサービスのどの機能に対応するかを判断します。問題文中には両者の定義が示されており、経産省の「オンラインサービスにおける身元確認手法の整理に関する検討報告書」でも同じ考え方が採られています。
まず、身元確認は「登録する氏名・住所・生年月日等が正しいことを証明／確認すること」と定義されています。これは、その人物が実在する特定の本人であるかどうかを確認する行為です。報告書でも、身元確認は公的身分証などを用いて「実在する本人かどうか」を確かめる手法とされており、属性情報の正しさを確認する点が肝要です。
表1の機能の説明を見ると、"アカウント作成"では氏名、生年月日、携帯電話番号といった利用者の属性情報を登録すると記載されています。ここで登録される情報が正しい本人のものであることを確かめるのが身元確認ですから、身元確認を行う場面はアカウント作成時だとわかります。したがって、空欄aは「アカウント作成」に対応します。
一方、当人認証は「認証の3要素のいずれかの照合で，その人が作業していることを示すこと」と定義されています。報告書でも、当人認証はID・パスワードや端末、生体認証などを使って「今操作している人が、そのアカウントの利用者本人であること」を確かめる手法と説明されています。
認証の3要素とは、知識情報（パスワードやPINコードなど)、所持情報（スマートフォンやICカードなど)、生体情報（指紋や顔など）です。表1を見ると、「Qサービスへのログイン」では「利用者IDとパスワードでQサービスにログインする」とあり、これは認証の3要素のうち知識情報を使った典型的な当人認証の例です。したがって、空欄bは「Qサービスへのログイン」に対応します。
∴a＝イ：アカウント作成
b＝ア：Qサービスへのログイン
広告
設問2
- ①②: ・漏えいしている口座番号と暗証番号を悪用する方法
・口座番号と暗証番号をだまして聞き出し，悪用する方法
- ①②: ・漏えいしている口座番号と暗証番号を悪用する方法
- c: 写真
- d: ウ
- e: イ
- f: ・署名用電子証明書の有効性
・署名用電子証明書の失効の有無
- f: ・署名用電子証明書の有効性
- g: そのランダムな数字を紙に書き，その紙と一緒に容貌や本人確認書類を撮影
- まず、銀行口座とのひも付けに必要な手順を表1の"銀行口座とのひも付け"で確認します。
- Qアプリから提携先銀行を選ぶ
- Qサービスから銀行に氏名が提供される
- Qアプリ上で口座番号と数字4桁の暗証番号を入力する
- 氏名、口座番号、暗証番号が正しければひも付けが完了する
後は、この2つの情報をどのように入手するかを考えるだけです。想定される方法には次のようなものがあります。妥当であれば模範解答に限定されないと思います。- インターネット上に漏えいしている口座番号・暗証番号を悪用する
- ATMやネットバンキングの操作画面を盗み見る
- 相手を騙して聞き出す
- キーロガーに感染させて情報を盗み出す
- フィッシングサイトを使用して情報をだまし取る
・口座番号と暗証番号をだまして聞き出し，悪用する方法 - 〔cについて〕
設問では、表2に示されたオンラインによる本人確認方法のうち、空欄cに入る語句を答えます。表2の本人確認手順は、犯罪収益移転防止法（通称：犯収法）に基づく「取引時確認」に対応しており、本人確認書類の扱いも同法令に準じています。
犯収法では、金融機関等が取引時確認を行う際に使用できる本人確認書類として、運転免許証、在留カード、マイナンバーカード、パスポート、健康保険証など、氏名・住居・生年月日などが記載された各種公的書類が列挙されています。このうち、運転免許証やマイナンバーカードなど、写真が貼り付けられているものは「写真付き本人確認書類」として区別されています。
犯収法におけるオンラインで完結する本人確認方法の一つとして、「顧客の容貌」と「写真付き本人確認書類の画像情報」を取得し、両者を比較することで、本人になりすましていないことを確認する方式が挙げられています。表2の項番1、2の方法は、この方式を簡略化して示したものです。いずれも「容貌の画像」を取得するとされており、これと照合するためには、顔写真付きの本人確認書類を取得する必要があります。したがって、空欄cには「写真」が当てはまります。
∴c＝写真
【参考】
2027年4月に改正犯罪収益移転防止法の施行が予定されており、本問のような本人確認書類の画像情報の送信を受ける方法は廃止され、マイナンバーカード等のICチップ読取り方式に一本化されます。犯収法の対象となるのは特定事業者のみですが、本人確認の大きな流れとして押さえておく必要があります。 - 〔deについて〕
デジタル署名では、送信者の「秘密鍵」で署名を作成し、送信者の「公開鍵」で署名を検証します。空欄dは署名作成に用いる鍵なので「秘密鍵」、空欄eは署名検証に用いる鍵なので「公開鍵」がそれぞれ当てはまります。
∴d＝ウ：秘密鍵
e＝イ：公開鍵 - 〔fについて〕
利用者がマイナンバーカードを使って本人確認を行うと、Qサービス側には、デジタル署名、その署名対象のデータ本体、署名用電子証明書の3つが送られます。デジタル署名とデータ本体は、公開鍵暗号方式による署名検証に用いられ、この組が正しく検証できれば、そのデータが本人によって作成され、改ざんされていないことが確認できます。
しかし、署名検証だけでは、その電子証明書が今も有効であるかどうかまではわかりません。署名用電子証明書には氏名、住所、生年月日、性別といった属性に加えて、発行日や有効期限が含まれますが、有効期限切れになっていたり、盗難や紛失などの理由で失効手続がとられている場合、その証明書は無効として扱うべきです。そこで、証明書を発行・管理している地方公共団体情報システム機構に対し、その署名用電子証明書が有効な状態かどうか、失効が登録されていないかをオンラインで照会する必要があります。
∴f＝・署名用電子証明書の有効性、・署名用電子証明書の失効の有無 - 〔gについて〕
表2の方式では、攻撃者があらかじめ他人の顔写真や本人確認書類の画像を入手していれば、それを使ってなりすましが可能になってしまう課題があります。
なりすましを防止するためには、写真付き本人確認書類と容貌の写真は同時期に撮影されたものである必要があり、この点を事業者側で確認しなければなりません。犯収法規則改正のパブリックコメントの実施結果（2018年11月30日）ではこの手段の一つとして、本人特定事項の確認時にランダムな数字等を顧客等に示し、一定時間内に顧客等に当該数字等を記した紙と一緒に容貌や本人確認書類を撮影させて直ちに送信を受ける、という手順が示されています。
この手順では、利用者に対して、Qアプリが画面に表示したランダムな数字を紙に書き、その紙を含めた状態で写真（本人確認書類と容貌）を同時に撮影してもらいます。これにより、同じタイミングで撮影したことを確認でき、事前に用意された画像を用いたなりすましを防止できます。
∴g＝そのランダムな数字を紙に書き，その紙と一緒に容貌や本人確認書類を撮影
広告
設問3
- スマートフォンを盗まれた場合
- Qアプリの起動時に，PINコードで利用者を認証する機能
- スマートフォンの画面ロックが設定されておらず、ログイン状態が1カ月継続するということは、その端末を手に入れた人なら誰でも自由に操作できてしまう状態にあるということです。
不正利用が起こる原因として最もストレートなのは、利用者の意図と無関係に、端末が第三者の手に渡る状況です。その典型例が「盗難」です。盗んだ者は、画面ロックに阻まれることなくQアプリを起動し、登録済みの利用者になりすまして決済などの不正利用を行うことができます。
自分の意思で知り合いにスマートフォンを長時間貸し、その知り合いが不正を働くなど他の状況も想定されますが、リスクレベルとしては無視できるくらい小さいものです。模範解答で「盗難」が挙げられているのは、想定される代表的な攻撃シナリオであるためでしょう。
∴スマートフォンを盗まれた場合 - 本文では、「スマートフォンの画面ロックが設定されていない」ことと、「Qサービスにログインした状態を保持する」ことが前提になっています。この状況でスマートフォンを盗まれてしまうと、盗んだ第三者はQアプリをそのまま起動して決済に利用できてしまいます。端末側での画面ロックや生体認証に頼ることができない前提なので、Qアプリ自身で当人認証を行う仕組みが必要になります。
実際の決済アプリやネットバンキングアプリでは、アプリを起動するたびにPINコードの入力や、顔認証・指紋認証などを求めることで、端末を操作している人が正当な利用者本人かどうかを確認しています。顔認証や指紋認証は有効な手段ですが、対応センサーの有無や性能など、端末のハードウェア機能に依存するという問題があります。サービス提供者として広い端末環境を想定する必要があるためか、この問題ではほぼ全てのスマートフォンで実装可能であるPINコード認証が解答例とされています。
PINコード認証とは、利用者があらかじめ設定した数字列を入力させて本人確認を行う方式のことです。一般的には4～6桁程度の数字からなる暗証番号を利用者ごと、またはアプリごとに設定し、その番号を知っているのは正当な利用者だけであることを前提に認証を行います。この方式は、特別なセンサーを必要とせず、アプリ側で入力画面と照合処理を実装するだけで利用できるという特徴があります。
∴Qアプリの起動時に，PINコードで利用者を認証する機能
広告
広告