基本情報技術者Webと認証の安全性オリジナル・公式資料照合難易度★★★☆☆
攻撃者が偽ログイン画面へ入力されたパスワードとワンタイムコードを即時に正規サイトへ中継している。この中継型フィッシングへの耐性を高めるため、正規のサービスのオリジンに認証を結び付ける方式はどれか。登録・復旧経路も適切に保護されているものとする。
A
認証アプリが生成したTOTPコードを、表示されたログイン画面へ手入力する方式
TOTPは認証の強化に使えますが、入力した有効コードを即時に中継される場合があります。正規オリジンへの暗号学的な結び付けとは異なります。
B
オリジン等を検証するFIDO2/WebAuthnに対応した認証器を正しく利用する方式★ 正解
正規サービスのオリジン等を確認する仕組みにより、単に偽画面へ入力した秘密を中継する攻撃への耐性を高めます。
C
SMSで受け取ったワンタイムコードを、表示されたログイン画面へ手入力する方式
SMSコードも有効時間内に中継されるおそれがあります。コードを受け取る経路が別でも、正規のWebオリジンを直接検証する仕組みではありません。
D
端末へ届く認証プッシュ通知を、要求元の表示を確認せずに承認する方式
要求の確認なしの承認は、攻撃者が発生させた認証を許すおそれがあります。正規サービスへの結び付けを検証する方式とは異なります。
解説
コードを手入力して渡す方式は、リアルタイムに中継されるおそれがあります。FIDO2/WebAuthnの認証では正規のサービスのオリジン等との結び付けを検証します。認証器だけで登録・復旧・端末侵害の問題を全て解決するわけではありません。
根拠資料・確認情報
対応範囲：2026年度 基本情報技術者試験 科目A・B
資料確認日：2026-10-28
同じレッスンの問題
問題 1
利用者名から会員を検索するSQLを、文字列連結で作っている。利用者名に引用符やSQL断片が含まれると、検索条件の構造が変わってしまう。値として受け取る利用者名に対する基本的な修正はどれか。
問題 2
コメント欄では利用者の入力を装飾せず、文字としてそのまま表示したい。ブラウザ側で入力をinnerHTMLへ入れると、HTMLタグが解釈されてスクリプトが動くおそれがある。この表示位置に適切な対策はどれか。
問題 3
Cookieによるログイン状態を使うWebアプリで、利用者が別サイトへ誘導され、そのサイトから送られた送金POSTが本人のCookie付きで実行された。POSTであることだけでは防げなかった。この不正な要求への基本対策として適切なのはどれか。
問題 4
パスワード保存方式を見直し、同じパスワードの利用者がいても、ハッシュの事前計算結果を利用者間でそのまま使い回しにくくしたい。適切なパスワード用ハッシュと計算コストを使うことに加え、ソルトをどう扱うのが適切か。