修了試験 2025-07-27実施分 基本情報技術者試験 問32

解説

正解は2です。 MITB（Man-in-the-Browser）攻撃は、PCに感染したマルウェアがWebブラウザの通信に割り込み、送金先や金額を書き換える攻撃です。 利用者は正規のWebサイトに正しくログインしているため、サイトの確認や通信の暗号化だけでは防げません。 【選択肢別解説】 1：× EV SSLサーバ証明書は、接続先が正規のWebサイトであることを確認する手段です。 MITB攻撃では正規のサイトに接続したままブラウザ内で書換えが起こるので、効果がありません。 2：○ トランザクション署名は、利用者が入力した送金先や金額をもとに署名を作り、金融機関が受け取った内容と照合する対策です。 ブラウザ内で内容が書き換えられても、不一致として検知できます。 3：× ワンタイムパスワードはログイン時の認証を強化する対策です。 MITB攻撃は正規のログイン後に通信内容を書き換えるので、ログイン認証を強化しても防げません。 4：× SSLをTLSに変えても、暗号化される前のブラウザ内で書換えが行われるため効果がありません。 通信路の暗号化はMITB攻撃への対策になりません。 【ポイント】 MITB攻撃への対策のキーワードは「トランザクション署名」です。 ブラウザとは別の機器（トークンなど）で送金内容を確認するのが有効です。