IT・インターネット常識クイズ｜パスワード・多要素認証・パスキーの安全対策
問題 1
複数の通販サイトで同じパスワードを使っている。一つのサイトからパスワードが漏れた場合に、別サイトのアカウントまで乗っ取られる危険を最も減らせる改善はどれか。
解説を見る
サービスごとに異なるパスワードなら、一つが漏れても同じ認証情報を別サイトへ試す攻撃の拡大を抑えられます。全サイトで同じ変更をする方法は、使い回しという根本的な問題を残します。
問題 2
あるWebサービスが、利用者によるパスワードマネージャーの使用を妨げず、安全なパスワード管理を支援したい。ログイン画面の設計として最も適切なものはどれか。
解説を見る
自動入力や貼り付けを許可すると、利用者はパスワードマネージャーで生成・保存した長く異なるパスワードを使いやすくなります。手入力の強制は、簡単なパスワードの選択や使い回しを招きかねません。
問題 3
組織が一般利用者向けサービスのパスワード変更方針を見直している。現在の認証指針に沿う考え方として最も適切なものはどれか。
解説を見る
理由のない短周期の変更ではなく、漏えいや不正利用など侵害の証拠がある場合に変更する考え方が適切です。頻繁な強制変更は、予測しやすい末尾変更や使い回しを招くことがあります。
問題 4
新規登録で利用者が「Password1!」のような、過去の漏えいでも頻出するパスワードを選んだ。サービス側の対応として最も適切なものはどれか。
解説を見る
見た目に大文字・数字・記号があっても、既知の漏えいパスワードは攻撃者に推測されやすいため拒否します。文字種を満たすことだけでは安全性を判断できず、平文保存も適切ではありません。
問題 5
ログイン時にパスワードを入力した後、別の暗証番号も入力する方式について、「二つ入力するので多要素認証である」と説明された。この説明を正しく評価したものはどれか。
解説を見る
多要素認証では、知識・所持・生体など異なる種類の要素を組み合わせます。パスワードと暗証番号はどちらも知識要素です。一方、三種類すべてが必須というわけではなく、異なる二要素でも構成できます。
問題 6
パスキーの説明として最も適切なものはどれか。
解説を見る
パスキーはサービスに対応した暗号鍵ペアを用いるパスワード代替技術で、利用者が偽サイトへ共有秘密を入力する方式ではありません。メールコードや、サーバーへ指紋画像を送る仕組みとは異なります。
問題 7
スマートフォンの指紋認証でパスキーを解除し、Webサービスへログインした。このときの生体情報の扱いとして最も適切なものはどれか。
解説を見る
パスキーを生体認証で解除する場合、生体情報の照合は端末上で行われ、生体情報そのものはログイン先へ送られません。サービス側が受け取るのは、端末上の利用者確認を経た認証結果です。
問題 8
スマートフォンを紛失してもアカウントを復旧できるよう、サービスから保存用リカバリーコードを受け取った。保管方法として最も適切なものはどれか。
解説を見る
リカバリーコードは通常の認証手段を失った際にアカウントへ入れる秘密情報です。オフラインで安全に保管し、使用後は無効になったコードを再利用せず、新しいコードへ更新します。共有場所への保存は漏えいを招きます。
問題 9
次のログイン方式のうち、異なる種類の認証要素を組み合わせた多要素認証に該当するものはどれか。
解説を見る
パスワードは知識要素、登録済み端末の認証アプリは所持要素なので、異なる要素を組み合わせています。ユーザー名は識別子であり認証要素ではなく、二つのパスワードや秘密の質問は同じ知識要素です。
問題 10
攻撃者が本物そっくりのログイン画面を用意し、利用者が入力したパスワードとワンタイムコードを即座に本物のサイトへ中継している。この種類の攻撃への耐性を高める認証方法として最も適切なものはどれか。
解説を見る
手入力するワンタイムコードは、偽サイトがその場で本物へ中継できる場合があります。パスキーなど、認証結果が正しいログイン先へ暗号的に結び付く方式は、この中継型フィッシングへの耐性を高めます。OTPの追加自体が無意味ということではありません。