情報処理安全確保支援士 令和５年度春期【過去問解説午後２問２】

2023年4月16日実施の情報処理安全確保支援士解答速報　

午後２の問２になります。

例年の正答率は７～８割くらい。今回は9割くらい合っているんじゃないか？？

解答まとめ

設問１	○×× ○○× ○○○
設問２
（１）	ウ、エ、イ
（２）	{ "system":"4000" "account":"11[1-9][0-9]" "service":"オブジェクトストレージ" "event":"オブジェクトの削除" }
設問３
（１）	新日記サービス、サービスT、サービスT
（２）	3,7
（３）	イ,ウ,エ
設問４
（１）	redirect_uriで新日記サービスのドメインを指定しているため
（２）	検証コードパラメータをS256でハッシュ化し、ハッシュ値をbase64urlエンコードした値がチャレンジコードと一致していることを検証
設問５
（１）	OSSリポジトリの変更履歴からファイルZをダウンロードしXトークンを取得した
（２）	アップロードされたソースコードの承認権限は開発リーダーにのみ与える
（３）	リポジトリWに対してソースコードのダウンロード権限のみを与える

他の解答・解説

情報処理安全確保支援士
問２　Webサイトのクラウドサービスへの移行と機能拡張

設問１　表2中のa～iに入れる適切な内容を,“○”又は"×"から選び答えよ。

解答

IaaS	PaaS	SaaS
a:○	d:×	g:×
b:○	e:○	h:×
c:○	f:○	i:○

解説

IPAでいい感じの図が見つからなかったので、金融庁様のサイトから拝借

設問と上下は逆になっているので見るときにご注意

設問２　[L社のクラウドサービスにおける権限設計]について答えよ。

（１）表7中の j～l に入れる適切な字句を, 解答群の中から選び, 記号で答えよ。

解答

j	ウ
k	エ
l	イ

解説

D社に委託している運用が最低限実施できる権限のみを付与する必要があります。

運用	アクセスするサーバ	必要な権限
ログ保全	各サーバ	ログの閲覧権限
障害監視	仮想マシンサーバ	ログの閲覧参照 サーバ一覧
性能監視	仮想マシンサーバ モニタリングサービス	サーバ一覧 一覧、性能指標の参照

仮想マシンサーバは障害監視や性能監視でサーバ一覧の権限が必要。ログ削除はW社で行うので、編集権限は不要

DBサーバへの運用作業は無し。バックアップも自動で取得されるので権限不要

性能監視のためにモニタリングサービスへの一覧と閲覧権限が必要

機器故障対応はクラウドベンダの責任範囲なので削除

（２）本文中の下線1のイベント検知のルールを, JSON 形式で答えよ。ここで,D社の利用者 ID は,1110～1199 とする。

解答

{
"system":"4000",
"account":"11[1-9][0-9]",
"service":"オブジェクトストレージサービス",
"event":"オブジェクトの削除",
}

解説

D社が削除できるログはオブジェクトストレージ上のもののみです。

設問３　[サービス Tとの連携の検討]について答えよ。

（１）本文中,図3中及び図4 中の m に入れる適切な字句を,“新日記サービス”又は“サービス T”から選び答えよ。

解答

m	新日記サービス
n	サービスT
o	サービスT

解説

OAtuth2.0のシーケンスです。

認可サーバは何に対する認可かというと、サービスTにアクセスするための認可です。

（２）表8中のp, qに入れる適切な番号を,図3中の番号から選び答えよ。

解答

p	3
q	7

解説

pは認可サーバに向けた「認可コード要求」のリクエストパラメータ

qは認可サーバに向けた「アクセストークン取得要求」のリクエストパラメータ

（３）本文中の下線2について, CRYPTREC の“電子政府推奨暗号リスト (令和4年3月30日版)”では利用を推奨していない暗号技術が含まれる TLS 1.2の暗号スイートを, 解答群の中から全て選び、 記号で答えよ。

解答

イ、ウ、エ

解説

電子政府における調達のために参照すべき暗号のリスト

見方がわからないのですが、MD5が載っていないのでこれか、、？

（追記）

コメント頂いたサイトを参考にさせて頂きました。TLS暗号化スイートの見方にて分かりやすく図解されております。

勉強になります。

設問４　[W社によるリスク評価]について答えよ。

（１）本文中の下線3について, アクセストークンの取得に成功することが困難である理由を,表8中のパラメータ名を含めて, 40字以内で具体的に答えよ。

解答

redirect_uriで新日記サービスのドメインを指定しているため

解説

エンコード値Gが漏洩しているということは、クライアントシークレットなどを暗号化した文字列が解読されている可能性があるという事です。

ただ、それでもアクセストークン取得が困難な理由は戻り先URLを絶対パスでしているためです。qの方のパラメータに含まれる「redirect_uri」のことです。

ちなみに、redirect_uriは認可サーバ側に事前に登録するものなので意図しない遷移先にリダイレクトしようとしてもエラーになります。

（２）本文中の下線4について, 認可サーバがチャレンジコードと検証コードの関係を検証する方法を,“ハッシュ値をbase64urlエンコードした値”という字句を含めて, 70 字以内で具体的に答えよ。 ここで, code_challenge_methodの値は S256 とする。

解答

検証コードパラメータをS256でハッシュ化し、ハッシュ値をbase64urlエンコードした値がチャレンジコードと一致していることを検証

解説

PKCEの検証フローの解説になります。

設問５　[F社による原因調査]について答えよ。

（１）本文中の下線5について, 第三者がXトークンを取得するための操作を,40字以内で答えよ。

解答

OSSリポジトリの変更履歴からファイルZをダウンロードしXトークンを取得した

解説

Xトークンが何者かは表９の「サービス連携」部分に記載があります。この表の注に大事なことが書かれています。

OSSリポジトリには、利用者認証を"不要"に設定している。また、OSSリポジトリのソースコードと変更履歴のダウンロードは誰でも可能である。

誰でもいつでもソースが見れる状態になっているという事ですね。

F社は誤ってこのOSSリポジトリ上にXトークンが含まれたファイルをアップロードしたので、変更履歴から情報を盗まれたと推測できます。

「OSSリポジトリ」「変更履歴からのダウンロード」がポイントです。

（２）本文中の下線6について,権限管理の変更内容を, 50字以内で答えよ。

解答

アップロードされたソースコードの承認権限は開発リーダーにのみ与える

解説

開発者が自分でアップロードし自分で承認できる状態では、承認フローの意味を成していません。この運用は正すべきです。

（３）本文中の下線7について 見直し後の設定を 40字以内で答えよ。

解答

リポジトリWに対してソースコードのダウンロード権限のみを与える

解説

図９サービス連携の中から、Xトークンに関する課題がありそうな箇所を探します。現在の設定について記述されているのは下記

• Xトークンには、リポジトリWの全ての権限が付与されている。

問題がありそうですね。

X社のCIとはどんなサービスなのかが、こちらも注記に記載があります。

アップロードされたソースコードが承認されると、ビルドと単体テストを自動実行するサービスである。

このことからソースコードのアップロード権限は不要であることが分かります。

その他の解説