令和4年度 春期 情報処理安全確保支援士試験 午前II 問11

MITB（Man-in-the-Browser）攻撃とは、利用者のパソコンに感染したマルウェアがWebブラウザを乗っ取り、インターネットバンキングなどで利用者がログインした後の通信内容（送金先口座や金額など）を裏でこっそり改ざんする攻撃手法です。

この攻撃では、ブラウザとサーバ間の通信が暗号化される前（あるいは復号された後）のブラウザ内部で情報が書き換えられます。そのため、正規の利用者が正しいログイン情報（ワンタイムパスワード等を含む）を入力して認証を通過した後に被害が発生し、従来の通信経路の暗号化やログイン認証の強化では防ぐことが困難です。

これに対して有効な対策がトランザクション署名です。送金先口座番号や金額などの取引（トランザクション）内容に基づいてデジタル署名を生成・検証する仕組みであり、利用者が意図して入力した情報と金融機関が受信した情報に差異がないかを確認できるため、MITB攻撃による改ざんを検知することができます。したがって、イが正解となります。

各選択肢の解説

• ア： EV SSLサーバ証明書の採用は、接続先Webサイトの正当性を証明し、利用者を偽サイトへ誘導するフィッシング詐欺などに対して有効な対策です。MITB攻撃は正規サイトへ正しく接続している状態のブラウザ内で改ざんを行うため、防ぐことはできません。
• イ：正解です。 トランザクション署名を利用することで、送金情報の改ざんを検知し、MITB攻撃を防ぐことができます。
• ウ： ワンタイムパスワードの導入は、パスワードの窃取による不正ログイン（なりすまし）に対して有効です。しかし、MITB攻撃は正規の利用者がログインした後のセッションを利用して改ざんを行うため、ログイン認証を強化しても防ぐことはできません。
• エ： SSL/TLSによる通信の暗号化は、通信経路上の盗聴や改ざんを防ぐための対策です。MITB攻撃は通信が暗号化される前のブラウザ内部で情報を書き換えるため、暗号化方式を変更しても対策にはなりません。