【登録セキスペ】令和2年度秋期午後2問2の解説（情報処理安全確保支援士試験）

このNoteでは「セキスペ令和2年度秋期午後2問2」の解説をします。

模範解答に至る道は勿論。粘り方・別解・部分点の範囲・今後の試験に備えた補強など、専門学校で授業しきれなかった部分も全て詰め込んでます。

午後基礎力（緑）は外せません。選択肢が難しいですね、設問1(1)と設問3(2)。選択肢で失点した後は、作文問題を部分解答や別解で粘れるかでしょうか。すんなりは点取れないので、時間一杯考え抜いて仕上げるしかないかと。

学びは多いですよ。「スクショ」「カメラ」は今までも出てますが「監査報告書」なんて発想できません。あとシレっと「FIDO認証」「TPM」が出てます。今後も出題されまくります。

私はSCPMIIを97点で独学合格し、IT専門学校で授業しています。このNoteには、授業で教えていること以上の情報を詰め込みました。

一所懸命に作ったので、信頼して下さったら嬉しいです。

それでは始めましょう！

※午後2は午後1の解法スキルを前提としています。必ず午後1の演習を充分やってから、体力作りに午後2に取り組んでください。

※新SCは午後1本化された令和5年秋以降を指します。
＞【SC：92, 86, 97点の学習ノート】ガチ勢の登録セキスペ合格勉強法

設問1(1) | 汎用語「共有シークレット」

正答はイ（シェアードシークレット）。

OTP（ワンタイムパスワード）のうち、TOTP（Time-based One-time Password）では、共有シークレットとタイムスタンプ（時刻）を用いて生成します。時刻だけでは全利用者で同じOTPになるので、利用者ごとの共有シークレットで違いが出ます。wikipedia

私は、エ（タイムスタンプ）を選んで間違えました。タイムスタンプはOTP生成に使いますが、下線①QRコードは「初期設定」では使いません。

「初期設定」で共有シークレットを登録し、お互いに持つ。OTP生成時は、お互いに共有シークレットとタイムスタンプ（現在時刻）を使って生成する。

補強 | cookie

入力情報や認証成功したことが書き込まれ、入力サポートやSSO（シングルサインオン）に使えます。secure, expires, HttpOnlyなど属性は5種類は覚えて欲しいです。

＞【SC】CookieのNote
＞【NW】CookieのNote
＞【SC】SSOを実現する技術Note

Cookieのお陰で、ブラウザを立ち上げ直しても自動でログインされてます。

Cookieを消すと、ログインし直す必要があるので面倒なんですよね。とはいえ、Cookieが大きくなりすぎると不具合も出ますが…。

補強 | ディジタル署名

補強 | 電子証明書

シリアル番号：機器やソフトウェア・データなどに付けられる固有番号。例えば電子証明書の識別子（SerialNumber）も。
＞令和2年秋午後1問1の解説Note
＞平成28年春午後1問3の解説Note
＞平成26年秋午後1問2設問2(2)defghの解説Note

電子証明書の記載内容は、コモンネーム（FQDN）とシリアル番号は知っておきましょう。

• AuthorityKeyIdentifier：認証局の「公開鍵の識別子」

• CommonName：発行者のコモンネーム（FQDNなど）

• Issuer：証明書を発行した認証局

• SerialNumber：証明書の識別子
  ※証明書失効リスト（CRL）に記載される

• SubjectAltName：証明書に関連する情報（ドメイン名やメールアドレス）

• SubjectPublicKeyInfo：証明書の公開鍵に関連する情報（暗号アルゴリズム名など）

優先順は、コモンネームとシリアルナンバー。APだけでなく、セキスペでも出ますよ。

理解の拡げ方。署名→証明書→認証局。

Iパス/FEでディジタル署名を理解します。＞【Iパス】ディジタル署名のNote

FE/APで電子証明書まで広げます。

電子証明書はディジタル署名を検証する公開鍵が正当なものだと証明するデータ。認証局が発行。＞【NW】デジタル署名・証明書Note

SCでは、認証局の階層構造・ルートCAまで理解が必須。認証局の電子証明書（の中の認証局の公開鍵）を証明するために、上位の認証局が電子証明書を発行、更に上位の～。＞【SC】ルート認証局（CA）Note

補強 | タイムスタンプ

補強 | フィンガープリント

設問1(2) | アクセス元を制限する理由

模範解答は「第三者のOTPアプリで不正にOTPを生成される」

設問文のように「E社のネットワークからのアクセスだけに制限しなかった場合」、インターネットの攻撃者も（下線②前）「OTPアプリ初期設定用のQRコードを表示する機能へのアクセス」ができます。

つまり初期設定ができちゃって、OTP生成が出来て、ログインされるかもしれない。

余談 | 通知システムや部署管理すれば？

最近”見に覚えのないログインだったら～”ってメールが届くようになりましたね。メルカリとか。

今回のシステムでも初期設定されたら、管理者なり利用者本人に通知しても良いかも。

”見に覚えない初期設定作業だったら～”と。攻撃者かも知れないし、会社が貸与するスマホを変えたかもですし、退職/入社で貸与する社員が変わったかも知れません。

というか、会社が貸与するんだから、初期設定は1回だけできるようにすれば良いかなとも。貸与したその日に「上長」の確認の下行うなど。＞平成26年秋午後1問2設問3(1)の解説Note

初期設定をしたくなったら、上長がシステム企画部に依頼して1回だけ初期設定ができる状態にしてもらうなど。

でも問題文の ”初期設定はE社内でのみできる"　のはシンプルで良い処置ですね。

設問1(3)abcdef | 通信の原則（要求→応答）

正答は、ウ, エ, イ, ア, カ, オ。

図3のdから決めるのが良いですね。