第24回 第2部 第42問

以下の（ア）～（ウ）は、共通鍵暗号の方式について述べた文章である。それぞれにあてはまる方式の組み合わせとして正しいものはどれか。下の選択肢から1つ選びなさい。

(ア) 鍵長が56bitと短く現在では暗号強度が低いとされている。
(イ) 暗号化・復号の処理が高速という特徴がある。無線LANのWEPやWPA-TKIPで使われている。
(ウ) 米国政府の標準暗号として、（ア）の代わりに採用されるとともに、無線LANのWPA2方式で実装が必須となった。

ａ． （ア）AES　　　　（イ）DES　　　　　（ウ）RC4
ｂ． （ア）DES　　　　（イ）RC4　　　　　（ウ）AES
ｃ． （ア）DES　　　　（イ）AES　　　　　（ウ）RC4
ｄ． （ア）RC4　　　　（イ）DES　　　　　（ウ）AES

「セキュリティって難しくて苦手なんだけどどうやって覚えれば良いんだろう？」


「理想はしっかり理屈から覚えるのが良いんだけどねー。」
「まぁこの手のアルファベットの省略形になっているのは、なんの略なのかを覚えるのが比較的簡単かな。」

「掘り下げて難しいところまで覚えるよりはまだ楽、かな？」

「ここで出てくるのは『AED』『DES』『RC4』の３種類だね。」
「これらが、ア～ウのどれに当てはまるかがわかればＯＫだ。」

「AESとDESって似てるけど、なにか関係があるの？」

「お、鋭いね。AESは Advanced Encryption Standard の略なんだ。ここで重要なのは Advanced だ。これは進化したとかそんな感じの意味。」
「ちなみに Encryption は暗号化って意味で、Standard のよく知られている意味は標準だけど、他にも規格という意味もあるんだ。」

「暗号化の規格の進化版って事なんだね。」

「そういう事。」
「で、DESが Data Encryption Standard の略。実はAESはDESの進化版なんだよ。」

「へぇ～、じゃあDESが古くて、それにかわるのがAESなんだね。」

「そうそう。そして古いのが新しいのにとってかわられるって事は、古い方に弱点があるって事も想像できちゃうね。」

「あ、そうか。そういう事だよね。セキュリティが弱いから新しいのに世代交代したってことかー。」

「実はここまで解ってしまえば、アがDESでウがAESって事がわかっちゃうんだよ。」

「あれ？そうなると、残るRC4はイしかないよね。『ｂ』が正解だ！」

「正解～。」
「ね。ちょっと知ってればわりと簡単だろ？」

「そうだね～。言葉の意味がちょっと分かるだけでも違ってくるね！」

「一応RC4も解説しておくと、Rivest Cipher 4 の略で、Rivest は開発者の名前で、Cipherは暗号にするって意味があるんだ。」

「名前かぁ～。どんな特徴があるのか分かりにくいね。」

「そうだねー。これは覚えるしかないかな。鍵の長さをある程度変えられるのと比較的計算が速いってのが特徴かな。」

「計算が速いのかー。じゃあちゃんとイに当てはまるね。」

「そうだね。今回はこのくらい覚えておけば大丈夫だと思うよ。」

【 第24回 第2部 第42問 解答＆解説 】
［解答］ｂ．
［解説］
DESは、1976年に米国の国家暗号規格として採用された共通鍵暗号方式であるが、鍵長が56ビットと短く、現在では比較的短時間で鍵の全数探索が可能になっている。
DESの代わりに採用されたのがAESで、最長で256ビット長の鍵を利用できるなどの改良が加えられている。
また、RC4は暗号化や復号処理の高速性が特徴の共通鍵暗号方式である。

第23回 第2部 第46問

ソーシャルエンジニアリングの脅威に対する、直接的な対策でないものを１つ選びなさい。

ａ． 個人情報が含まれた書類はシュレッダで裁断してから廃棄する。
ｂ． PCの画面にのぞき見防止用のスクリーンフィルタを取り付ける。
ｃ． PCにパーソナルファイアウォールを導入する。
ｄ． 使用済みハードディスクは、専用のツール等を用いてデータを完全に消去してから廃棄する。
ｅ． サポートセンタの担当者を名乗る人物から、電話でパスワードや暗証番号を聞かれても答えない。

「ソーシャルエンジニアリングってなに？」

「人間の心理的な隙や、行動のミスにつけ込んで個人が持つ秘密情報を入手する方法のことだよ。身分をごまかして管理者や利用者に直接聞き出したり、とても恐ろしい手段なんだよ。」

「ひゃあ!とてもこわいね!」

「そうなんだ～。だから今日は日常の個人情報や機密情報の取扱について考えよう～。選択a～eまでを1つずつみていこう。」

「『a．個人情報が含まれた書類はシュレッダで裁断してから廃棄する。』だけどなんでそんなことしなきゃいけないの？」

「そのままゴミ箱へ捨てちゃうと、ゴミ箱から直接だったり、あとでゴミ捨て場からだったり、タイミングは色々あるけど、持って行かれる可能性があるからね。」

「えぇ!!ゴミ箱を漁る人なんているの？キタナィ。。。泣」


「そうだね。でも重要な情報はお金になるからね～どうやってでも持って行きたいんだよ～。」

「『ｂ．PCの画面にのぞき見防止用のスクリーンフィルタを取り付ける。』のは？」


「これも良い対策だね。背後にはご用心っ！」
「人の出入りを制限している職場ならあまり気にしないけど、外部の人間がそのまま入ってこれるようなレイアウトなら重要な対策だね。」
「こっそり背後からPCのモニターを覗き見されて、重要な情報が漏えいする可能性もあるからね。」

「のぞき見防止スクリーンを貼ると見えなくなるの？」


「正面に座って普通にPCを操作する分にはあまり影響がないかちょっと暗くなる程度だけど、そこから少し角度がずれて斜めから見ると画面が見えなくなるんだよ。」

「『ｃ．PCにパーソナルファイアウォールを導入する。』これは良いセキュリティ対策だよね～。」

「おやおや？ファイアウォールの導入ってどんな対策なのかな？」
「ファイアウォールは技術的且つネットワークからの侵入への対策にだから、セキュリティ対策ではあるけど、ソーシャルエンジニアリングの対策ではないよね。」

「そっか～。ソーシャルエンジニアリングはもっとシンプルな手口だもんね。」

「『ｄ．使用済みハードディスクは、専用のツール等を用いてデータを完全に消去してから廃棄する。』の説明をしてみよう。」

「ファイルの削除だけじゃだめなの？」


「実はHDDのファイルを削除しただけだと、データは残っていて、『削除したよ』って状態になって、見えなくなるだけなんだ。」

「それってゴミ箱のこと？ゴミ箱を空にすればＯＫなんじゃないの？」


「いいや、ゴミ箱から削除した時の話だよ。」
「いうなれば、在庫はあるけどカタログからは消えた状態・・・みたいな。」

「へぇ～、知らなかったぁ～。安心できないね。」

「『ｅ．サポートセンターの担当者を名乗る人物から、電話でパスワードや暗証番号を聞かれても答えない。』は分かるよね？」

「これは分かるよ！本当にサポートセンターの人か確かめないとね！」





【 第23回 第2部 第46問 解答＆解説 】

［解答］　ｃ．
［解説］
ａ．対策となる。
ｂ．対策となる。
ｃ．対策とならない。ソーシャルエンジニアリングとは、詐欺的な手口によって認証情報や個人情報を入手することであるため、パーソナルファイアウォールといったソフトウェアを使ったものはソーシャルエンジニアリングの対策とはならない。
ｄ．対策となる。
ｅ．対策となる。

第24回 第2部 第53問

スニファリング対策として、効果が期待できるものを2つ選びなさい。


ａ． 無線LANを使用する際はWPA2による暗号化を有効にする。
ｂ． PCからインターネットにアクセスする際、TLSやSSLによる通信を行う。
ｃ． PCのHDDのファイルシステムに暗号化したものを用いる。
ｄ． クライアントPCへのアドレス割り当てにDHCPを利用する。

「スニファリングってなんだろう？よく分からないな・・・。」


「日本語ではパケット盗聴と呼ばれることもあるよ。」
「スニフ（sniff）がニオイを嗅ぐって意味で、ネットワークを流れる情報を嗅ぎ取るように盗み出すスニファー（sniffer）ってツールがあって、それを使う不正行為がスニファリング（sniffering）だね。」

「盗聴されちゃうの！？」


「そうだよ。下手するとメールやファイルサーバーのＩＤ・ＰＷなんかも他人に知られてしまう可能性があるんだ。」

「えー、そんなの困るよー。」


「困るねー。だから対策をきちんとしよう。」


「どうすれば良いの？」


「スニファリング対策には暗号化が良いね。」
「もし盗聴されても意味が分からないようにすれば良いんだ。」

「どういう事？」


「通信の内容を暗号化しておけば、たとえ盗聴されても内容がわからないから重要な情報が漏れる事は防げるって寸法さ。」

「なるほど～。httpsとかSSLとかあの辺のヤツかな？」


「そうだね。あとは無線LANのWEPとかWPAとかだね。」


「無線LANの暗号化方式っていくつかあるけど、どれが良いの？」


「WEPよりもWPA、WPAよりもWPA2の方が強力だね。」
「とくにWEPは脆弱性が発見されているので、おすすめはできないね。」

「なんでWEPはいまだに残ってるの？」


「これはね、WEPにしか対応していない機器もあるから、残さざるを得ないんだ。」


「そうなんだ～。」

【 第24回 第2部 第53問 解答＆解説 】
［解答］ａ，ｂ．
［解説］

ａ．期待できる。 無線LANを使用する場合は、スニファリングされないようにデータの暗号化をすることが望まれる。WEPではなく、WPA2を利用することは効果が期待できる。

ｂ．期待できる。 Web通信やメールの送受信などインターネットにアクセスする際にはTLSやSSLによりデータの暗号化をすることでスニファリングの対策となる。

ｃ．期待できない。 スニファリングは流れているパケットを盗み見る行為であり、HDD内を覗き込むわけではないので効果がない。

ｄ．期待できない。 クライアントへのIPアドレスの割り当て方法をDHCPにすることはスニファリング対策とはならない。

第19回 第2部 第45問

以下の図のファイル群に不正プログラムが入っていた場合、これがダブルクリックにより実行されてしまう危険性を持つものはどれか。
図中の選択肢から２つ選びなさい。
なお、アプリケーションの脆弱性については考慮しないものとする。

「……1つは何となく解るかな？」


「どれがあやしいと思うの？」


「『ａ』だと思うんだけどね。」


「その理由は？」


「『setup』って書いてあると、だいたいこのファイルって何かを実行するのに使われなかったっけ？」

「コムたろう君が言っているのは、『setup.exe』のことだね。」


「そうそう、それ！インターネットでダウンロードしたファイルってたいていそんな名前のファイルじゃない？」

「まぁだいたいそんな名前だよ。」


「ほらね！だから、なんか悪いことを実行するから『a』だと思うんだよね。」


「でも、『setup.exe』の『exe』って部分が見えないけど、そう断言しちゃっていいのかな？」


「『setup』って来たら、『exe』でしょ？」



「では、『exe』って何か解る？」


「…………教えてください。」


「この『exe』は実行ファイルの拡張子なんだよ。EXECUTE=実行の略だよ。」
「ちなみに実行ファイルってのはダブルクリックしたらプログラムが動き出すファイルの事だよ。」

「拡張子って？」


「拡張子はそのファイルがどんな種類かを示すものなんだ。」


「『exe』って場合は、実行ファイルという種類を示すんだね。」


「うん、他にもExcelのファイルだったら拡張子はお馴染みの『xls』だったり、PowerPointだったら、『ppt』みたいな。」

「ああ、なんとなく解ってきたよ。」


「とは言え、『setup.exe』はアプリケーションのインストールとかアップデートとかに使われる事が多く、本来は悪いことをするものではないよ。」
「悪い人がそこを悪用して危険なプログラムのファイル名を『setup.exe』にしている可能性を考慮して、要注意ってことなんだ。」

「ふ～ん、そうなんだー。」

「ただね、この拡張子なんだけど、Windowsの基本の設定では、原則、隠れて見えないようになっているんだ。」

「えっ、見せてくれればいいのに……その方が一目で何のファイルか解って便利だよね。」


「その代わり、図のようにどんな種類のファイルかを示す説明文がファイル名の下に書いてあるでしょ？」

「あっ、ホントだ。」


「だから、拡張子が見えなくっても、この説明文を読めばいいんだよ。」


「じゃあ、『c』は単なるメモ帳のファイル、『d』はJPEGの画像ファイルってことでいんだね。」

「その通り。」


「だったら、ダブルクリックしてもメモ帳が開いたり、画像ファイルが開いたりするだけだから、悪さはしないね。」

「うん、大丈夫だね。」


「……あれ、じゃあ『b』のファイルはどうなんだろ？」


「おっ、気づいたね。」


「うん、このファイルだけ拡張子の『jpg』が見えているよ。他のファイルでは拡張子は見えないのに……。」

「それがこの問題のポイントだよ。」


「えっ、そうなの？」


「うん、ファイル名の下に説明文はあるかな？」


「あれ～『d』と同じJPEGファイルなら、同じように説明文があってもいいよね？」


「うん、これはつまりWindowsがこのファイルをJPEGファイルだと認識できなかったことを指しているんだよ。」

「えっ、でも拡張子が『jpg』なのに？」


「こらこら、他のファイルは拡張子が見えてないだろ？」


「そうだった……ってことは、この『picture1.jpg』の『jpg』っていうのは……。」


「ファイル名の一部ってことだよ。」


「ええええ、紛らわしい。」


「それが悪さをする人の怖いところ。」
「わざと、拡張子みたいなファイル名を付けることによって、『これは安全なファイルだよ』って受け取った人に思わせているんだ。」

「ずるがしこいなぁ。」


「インターネットで不正を働く人はあの手この手を考えるからね。」


「そうか、『c』や『d』のファイルのようにWindowsがどんなファイルかを認識していれば、ちゃんと説明文が入るから、そこで見分けるんだね！」

「うん、同じJPEGファイルなのに、『d』は拡張子無しで説明文有り、『b』は拡張子みたいなのが見えるけど説明文無し。」

「『b』のファイルをWindowsはJPEGファイルと認識できなかったんだね。」


「うん、『b』のファイルの場合、実際には『picture1.jpg.exe』という実行ファイルの可能性が高いんだよ。」

「うっかりクリックしちゃったら、大変だね。」





「でもさ、こんなリスクがあるなら、Windowsは最初から拡張子を見せてくれればいいのにね。」

「初期設定では見せてくれないけど、自分で拡張子を表示させることも出来るよ。」


「えっ、そうなの？」


「うん、簡単に出来るから、今度教えてあげるね。」


「うん、,わかった～。」


「まぁ、拡張子が見えるからと言って、万全ってことはないんだよ。」


「どうして～？」


「例えば『photo.jpg .exe』みたいに、拡張子の前にスペースを入れられちゃうと、結局『jpg』が拡張子だって勘違いしちゃう場合もあるんだ。」
「図のｂでは右下に『…』て見えるだろ。これは名前が長いから省略されたって印なんだ。つまり『picture1.jpg』の後ろにまだ名前が続いているって事さ。」

「悪い事する人はホントいろいろ考えるんだね。」


「だから、僕たちもいろいろ考えなきゃいけないんだよ。」


「了解！」










「ちなみに先生、アプリケーションの脆弱性ってな～に？」


「エクセルとかにはマクロ機能があるのは知っているかな？」


「マクロって？」


「一定の処理手順を登録しておいて、必要な時に呼び出して作業を簡単にするための機能だよ。」
「これを悪用してエクセルとかのセキュリティの穴をついて悪さするファイルもあるんだ。エクセルのファイルを開いて、エクセルが立ち上がった途端に動き出したりね。」

「じゃあ、ファイル名を見て、普通のエクセルのファイルって判断できても、危険な場合もあるんだ？」

「その通り、だから設定でマクロを無効にしたり、確認したりとかも選べるようになっているんだ。」

「用心するにこしたことはないんだね～。」


「そして、今回はそこらへんは考慮しなくても良いよって事ね。


「は～い。」

【 第19回 第2部 第45問 解答＆解説 】
［解答］ａ，ｂ
［解説］
ａ．危険性を持つ。setup.exeであることが想定される。exeファイルはダブルクリックで実行されるファイルである。

ｂ．危険性を持つ。picture1.jpgとなっているが、jpgという拡張子であれば、登録されており、JPEGイメージであると自動判別できるはずである。しかし、判別されていないことから、ファイル名が「picture1.jpg.exe。」等になっていることが想定される。また、拡張子がこのファイルだけ表示されているのは不自然である。

ｃ．危険性を持たない。redme.txtであることが想定される。ダブルクリックしてもメモ帳等（テキストエディタ）が起動するだけなので安心である。

ｄ．危険性を持たない。JPEGイメージであることから、picture2.jpgであると想定できる。ダブルクリックしても、Windows Picture Viwer等が起動するだけなので、安心である。

第24回 第2部 第51問

PCを使用中に、下の画面のようなインストールした覚えのない「セキュリティツール」が起動した。
セキュリティの観点から行うべきではないことを、下の選択肢から2つ選びなさい。



ａ． PCをネットワークから切断する。
ｂ． この画面の「隔離する」ボタンをクリックする。
ｃ． この画面の「ウィルスを駆除する（有料）」ボタンをクリックする。
ｄ． 不正プログラム対策ソフトを新規にインストールして、駆除を試みる。

「ドット先生～、これって危険なの？」


「本当にインストールした心当たりがないのなら、これは危険だね。ウィルスと思って適切な対処をするべきだね。」

「ええっ？！ウィルスなの？？？」


「見た目はセキュリティ関連のソフトに見えても、こんなものはいくらでも偽の画面を作って嘘がつけるからね。」
「自分でインストールした覚えがないのなら、同居人が知らないうちに勝手にインストールしたか、さもなきゃ悪意のあるプログラムがいつの間にか侵入していたと考えるべきだ。」

「そっか～、画面の表示はいくらでも嘘がつけるのかー。良い人そうな顔をして近づいてくる詐欺師みたいだね。」

「そのとおり。」
「そういうのに引っかからないためには、相手のペースに合わせない事が肝心だ。」

「ウィルスが相手でも同じなの？」


「そうだね。まず、相手が用意したボタンは押さないこと。『ウィルスの駆除』だとか『隔離』だとかボタンに書いてあっても、実際はその通りの動作をするとは思わない方が良い。」

「スーパーのお惣菜コーナーで、わさびタップリのお寿司にわさび抜きのラベルが貼ってあるようなもんだね。」

「そういうこと。」
「だから、選択肢のｂやｃはやっちゃダメね。」

「は～い。」
「じゃあ、選択肢のａとかｄはＯＫなの？」

「まず、ウィルスに感染したかもしれないって時は、ＰＣをネットワークから切り離すことが重要なんだ。」
「そのままネットワークに繋がっていたら、被害が広がるかもしれないからね。」

「勝手にメールを送信したり、重要な情報が抜き取られたり、ほかのＰＣに感染したりするのを防ぐんだね！」

「そうそう。」
「ネットワークから切り離したら、次はウィルスを駆除しないとね。」
「そのためにはノートン先生とかウィルスバスターとかを使うとよいね。」
「ウィルス対策ソフトの定義ファイル（パターンファイル）は最新じゃないと効果がないかもしれないから、別ＰＣでダウンロードしてフロッピーディスクやＵＳＢメモリーで持ってくる必要があるよ。」

「ちょっと手間だねー。」


「さらにその時使ったフロッピーディスクやＵＳＢメモリーも後でウィルスに感染していないかスキャンが必要だよ。」
「ここで手間を惜しんでウィルスの被害にあったら目も当てられないからね。」

「家に１台しかＰＣが無かったら？」


「ＰＣに詳しい友人を頼るかネットカフェを活用するか・・・ってところかなぁ。」


「う～ん、大変だぁ」


「そう、一旦感染したら大変なんだよ。こういうのは人間の病気と同じで予防が一番大切なんだ。」

「なっとく～。」

【 第24回 第2部 第51問 解答＆解説 】
［解答］ｂ，ｃ．
［解説］
ａ．正しい。 他のコンピュータへの感染を防ぐためにネットワークから切断する。
ｂ．誤り。 インストールした覚えの無いプログラムの場合、動作させないことが望ましい。
ｃ．誤り。 インストールした覚えの無いプログラムの場合、動作させないことが望ましい。
ｄ．正しい。 不正プログラムとは断定はできないが、念のため、不正プログラム対策ソフトで駆除を試みる。