応用情報技術者認証・入力・暗号の安全な利用オリジナル・公式資料照合難易度
APIはRS256署名のJWTだけを受け入れる契約である。トークンのalgを見て、その値の方式を無条件に有効化する検証器の改善はどれか。
A
ヘッダーにalg=noneがあれば署名なしでも同じ契約を満たすとする
今回は署名を必須とする契約なので、トークンの自己申告で無効化してはいけない。
B
RS256用公開鍵を、要求されたHS256の共通秘密としてそのまま使う
非対称鍵とMAC鍵の用途を混同してはならない。鍵と方式の結び付きを検証する。
C
署名方式だけ一致すれば、発行者や宛先の検証は不要になる
暗号検証だけでトークンがそのAPIに適切とは限らず、他の必要な条件も確認する。
D
許可する方式をRS256へ制限し、対応する検証鍵・発行者等の条件も固定して検証する★ 正解
トークン側の指定だけで信頼する暗号方式を選ばない。受信側の契約と鍵の用途に沿って許可範囲を決める。
解説
トークン側の指定だけで信頼する暗号方式を選ばない。受信側の契約と鍵の用途に沿って許可範囲を決める。
根拠資料・確認情報
対応範囲：2026年度 応用情報技術者試験／シラバスVer.7.2・科目A/B表記
資料確認日：2026-11-02
アプリ内の初回回答データ
回答データを読み込んでいます。