平成27年度 春期 午後Ⅱ（旧試験）

本文の根拠

表2 DNSサーバ

DNS 機能では，DNS の拡張仕様である a を用いた，公開鍵暗号方式によるディジタル署名の DNS レコードへの付加と，DNS 応答のディジタル署名の検証が可能である。

DNS の拡張仕様で，公開鍵暗号方式のディジタル署名を DNS レコードに付け，応答の署名を検証できるようにするものは DNSSEC（DNS Security Extensions）である。解答例は“DNSSEC”である。

表2 の記述は，署名を付ける側（権威サーバ）と，応答の署名を検証する側（リゾルバ）の両方の機能を述べている。DNSSEC は RFC 4033〜4035 で定義されており，応答の出どころと改ざんの有無を確かめられるようにするのが目的である。

英字 8 字以内の指定に対し，DNSSEC は 6 字で収まる。共通鍵を使って DNS メッセージを認証する TSIG（RFC 8945）と取り違えないこと。本文は“公開鍵暗号方式によるディジタル署名”と明記しているので，共通鍵方式の仕組みは当てはまらない。

本文の根拠

表2 DNSサーバ

インターネットからの再帰的な名前解決問合せを拒否することによって，この DNS サーバが，b リゾルバとして踏み台にされないようにしている。

表2 外部メールサーバ

SMTP の c 中の宛先情報を用いた不正中継防止設定が可能である。

b：任意の送信元からの再帰的な問合せに答えてしまう DNS サーバを，オープンリゾルバという。これが踏み台にされると，送信元アドレスを偽った問合せで第三者に大量の応答を送り付けるような攻撃に使われる。RFC 5358 は，再帰的な問合せを受け付ける相手を限定することを求めている。本文の“インターネットからの再帰的な名前解決問合せを拒否する”は，その対策に当たる。解答例は“オープン”である。

c：メールの配送先は，SMTP のコマンド（RCPT TO）で指定する宛先情報で決まり，これを封筒（エンベロープ）に見立てる（RFC 5321）。メッセージのヘッダ（To: など）は配送先の決定には使われない。不正中継の防止は，この配送先を見て行うので，解答例は“エンベロープ”である。

字数は b が 4 字，c が 6 字で，どちらも 10 字以内に収まる。b は“オープン”とだけ書く。“オープンリゾルバ”と書くと後ろの“リゾルバ”が重複し，空欄の前後とつながらない。ヘッダとの違いを問う設問なので，“ヘッダ”と答えない。

採点講評（IPA）

設問1(2)のbは，正答率が低かった。オープリゾルバを踏み台にする攻撃事例もあるので，DNSの仕組みと設定をよく理解しておいてほしい。

設問1(2)のcは，正答率が低かった。不正中継防止を確実に行うために，SMTPの仕組みをよく理解しておいてほしい。

本文の根拠

冒頭

ドメイン名として n-sha.co.jp を使用しており

表2 外部メールサーバ

外部メールサーバは宛先メールアドレスのドメイン名が d であるメールは内部メールサーバに転送し，それ以外のメールは拒否する。

外部メールサーバは，宛先メールアドレスのドメイン名が自社のものであるメールだけを内部メールサーバに転送し，それ以外を拒否する。これが不正中継の防止設定である。N 社のドメイン名は冒頭に示された n-sha.co.jp なので，これが答えである。

表1 のメールアドレスは，従業員用も管理用もすべて@n-sha.co.jp である。したがって，宛先がこのドメインのメールだけを通せば，社外のメールアドレス宛てのメールを外部メールサーバが中継することはない。

問われているのは“ドメイン名”なので，“user@n-sha.co.jp”のようなメールアドレスや，“@n-sha.co.jp”と書かない。字数制限は無いが，本文に出ているとおりに n-sha.co.jp と書く。

本文の根拠

図3 (2)

PC から送信されたメールの場合，送信者メールアドレス

図3 (2)

ここで，e に送信するのではなく，宛先のメールアドレスに送信するのは，e に通知メールを送信すると迷惑メールになる可能性があるからである。

外部メールサーバから転送されたメール，すなわちインターネットから届いたメールでウイルスが検出されたときは，通知を宛先のメールアドレス（社内の受信者）に送る。ここで送り先にしないのは，そのメールの“送信者メールアドレス”である。ウイルスを含むメールの送信者アドレスは偽られていることがあり，そこへ通知を送ると無関係の第三者に迷惑メールを送ることになるからである。解答例は“送信者メールアドレス”である。

図3 は，PC から送信されたメールの場合には送信者メールアドレス（社内の送信者）に通知するとしている。同じ“送信者メールアドレス”でも，社内の PC から出たメールなら本人に知らせる意味があるが，外部から来たメールでは意味が逆になることが，空欄の前後の文でわかる。

字数は 10 字で，15 字以内に収まる。“送信元アドレス”と書いても意味は通じるが，図3 は“送信者メールアドレス”という語を使っているので，それに合わせる。

本文の根拠

〔PC の管理方法〕

脆弱性修正プログラム及びウイルス定義ファイルを保存した DVD-R（以下，初期設定用 DVD-R という）を使用している。

表4 項番1

項番 1：送信元は初期設定用ネットワーク，宛先はプロキシサーバ，サービスは代替 HTTP，動作は許可，ログは取得する。

表2 プロキシサーバ

URL フィルタリング機能では，ネットワークを送信元として指定したフィルタリングルールを作成することができる。

初期設定用ネットワークは，PC の初期設定（脆弱性修正プログラムの適用とウイルス定義ファイルの更新）に使う。そこで必要な通信先は，脆弱性修正プログラムとウイルス定義ファイルを提供するサイトだけである。表4 の FW は，初期設定用ネットワークからプロキシサーバへの通信を許可しているだけで，サイトの制限はプロキシサーバの URL フィルタリング機能に任されている。この機能は送信元のネットワークを指定できるので，初期設定用ネットワークからは，これらのサイトだけに制限する。解答例は“脆弱性修正プログラム及びウイルス定義ファイルを提供するサイトに制限する。”である。

初期設定用ネットワークに接続した PC は，まだ初期設定が済んでおらず，ウイルス対策も十分でない。そのため，Web サイトの閲覧などの一般の通信を許さず，必要な接続先だけに絞る。

字数は 36 字で，45 字以内に収まる。“接続サイトを制限する”だけでは具体的でないので，何に制限するか（脆弱性修正プログラムとウイルス定義ファイルの提供サイト）を必ず書く。

本文の根拠

図5 (4)

G さんの PC を預かり，他の PC やサーバへのネットワークを経由した感染を防ぐために，②先頃，改善された N 社の環境を活用し，マルウェア X を駆除した。

図4

初期設定用ネットワークを，初期設定用 FW を介して本社の L3SW と接続する。

図5 (2)

駆除ツールは，W 社の Web サーバからダウンロードできる。

下線②の“改善された N 社の環境”は，図4 の初期設定用ネットワークである。これは初期設定用 FW を介して本社の L3SW とつながっており，表4 のとおりプロキシサーバへの代替 HTTP 以外は通さない。したがって，感染した PC をここにつないでも，他の PC やサーバへ感染は広がらない。この環境から W 社の Web サーバに接続して駆除ツールをダウンロードし，PC に適用して駆除した。解答例は“初期設定用ネットワークに接続し，W社の駆除ツールをダウンロードして適用した。”である。

通常の管理本部 LAN に PC をつないで駆除ツールをダウンロードすれば，マルウェア X が LAN 内の他の機器に感染するおそれがある。図5 (4) が“ネットワークを経由した感染を防ぐために”と目的を書いているのは，この点を押さえさせるためである。

字数は 38 字で，45 字以内に収まる。“初期設定用ネットワークに接続した”（どこで）と“駆除ツールをダウンロードして適用した”（何をしたか）の二つを落とさない。

本文の根拠

図5 (2)

マルウェア X 中の URL の例を次に示す。http://www.example.com.server.example.net/cmd/command.html

図5 (2)

上記 URL 中の中継サーバ名を次に示す。server.example.net

表2 プロキシサーバ

パターンマッチングの方式には，完全一致，部分一致，前方一致又は後方一致のいずれかを指定する。

マルウェア X の URL は，ホスト名の前半（www.example.com）が攻撃者の C&C サーバの名前で，後半の server.example.net が中継サーバ名である。URL の前に http:// が付き，後ろに /cmd/command.html が付くので，中継サーバ名はその途中に現れる。中継サーバを経由する全てのアクセスを遮断するには，サーバ管理者登録ブラックリストに中継サーバ名 server.example.net を登録し，パターンマッチングの方式は“部分一致”にする。解答例は“中継サーバのサーバ名を部分一致でマッチさせる。”である。

完全一致では URL 全体が一致しない限り遮断できず，前方一致や後方一致では URL の前後に別の文字列が付くので一致しない。中継サーバが同じなら，C&C サーバ名や後ろのパスが変わっても遮断できる点が部分一致の利点である。

字数は 23 字で，30 字以内に収まる。“中継サーバのサーバ名を登録する”だけでは方式が分からないので，“部分一致”の語を必ず入れる。講評が述べているように，方式の取り違えが多かった設問である。

採点講評（IPA）

設問4(2)は，正答率が低かった。パターンマッチングの方式を誤った解答が目立った。パターンマッチングは，URLフィルタリングだけでなく，ログ分析でも使用される。パターンマッチングについて学習しておいてほしい。

本文の根拠

表1

このメールアドレス宛てに届いたメールは，営業部広報グループのメンバのメールアドレス宛てに同報される。

冒頭

E 主任は，図 5 の(4)では，G さん宛てのメールだけが対象であったので，追加の調査と対処が必要であると指摘した。

図5 (5)

G さん宛てのメールを調査した。マルウェア X の感染の原因と考えられるメールは，5 月 2 日 20 時に届き，SMTP ウイルススキャンが行われたが，スキャン不能であった。

感染の原因は，広報問合せ用メールアドレス宛てに届き，広報グループのメンバに同報されたメールである。同じメールは，G さん以外の広報グループのメンバにも届いている。そこで，G さん以外のメンバに届いたメールを調査し，マルウェア X を含むメールがあれば削除する。解答例は“Gさん以外の広報グループのメンバに届いたメールを調査し，マルウェアXを含むメールを削除した。”である。

図5 (5) では，このメールは SMTP ウイルススキャンでスキャン不能と判定されて素通りしており，G さん以外のメンバが添付ファイルを開けば，同じ感染が起きる。調査は“調査した内容”（G さん以外のメンバ宛てのメール）と，“対処した内容”（マルウェア X を含むメールの削除）の二つを書く。

字数は 46 字で，55 字以内に収まる。調査の対象（広報グループの他のメンバ）と対処（削除）のどちらが欠けても得点にならない。メールの削除だけでなく，マルウェア X を含むと判明したメールを対象にする点を書く。

採点講評（IPA）

設問4(3)は，ウイルス感染が同報メールによるものであることを理解していない解答が散見された。同報メールによってウイルス感染が発生した場合の，調査及び対処の範囲を理解しておいてほしい。

本文の根拠

図3 (2)

不検出及びスキャン不能の場合は，結果を通知しない設定としている。

冒頭

パスワードを用いて暗号化されたファイルを添付したメールがインターネットから届いた場合に，メールの受信者に注意を喚起する必要があると指摘した。

図3 (1)

例えば，暗号化されたファイルは，スキャン不能と判定される。

パスワード付きで暗号化されたファイルは SMTP ウイルススキャンで“スキャン不能”と判定され，図3 の通知条件では何も通知されない。注意を喚起するには，スキャン不能の場合も通知するように条件を変更する。解答例は“スキャン不能の場合も通知するようにした。”である。

今回の感染は，スキャン不能と判定されたメールを G さんが開いたことで起きた（図5 (5)）。スキャン不能のメールの受信者に注意を促せば，添付ファイルを開く前に，最新のウイルス定義ファイルへの更新などの確認ができる。

字数は 20 字で，25 字以内に収まる。“不検出の場合も通知する”と書くと，問題のないメールすべてに通知が出てしまうので，“スキャン不能”を限定して書く。

本文の根拠

図6 (2)

ウイルス定義ファイルをダウンロードして更新するように，PC に対して動作指示を送信する。

図6 (2)

フルスキャンを実行するように，PC に対して動作指示を送信する。

図6 (2)

PC からアップロードされるウイルス感染情報を保管する。

図6 (3)

管理者は，PC を指定して，ウイルス定義ファイルのダウンロード及び更新，並びにフルスキャン実行の動作指示ができる。

下線⑥は，ウイルス感染を防ぐためのウイルス対策集中管理ソフトの活用方法である。図6 の機能から，三つの活用方法が考えられる。①フルスキャンの実行結果の情報を見て，1 週間を超えてフルスキャンが実行されていない PC を指定し，フルスキャンを実行させる。②ウイルス定義ファイルの更新時刻・バージョン情報を見て，更新されていない PC を指定し，更新させる。③アップロードされるウイルス感染情報から感染した PC を特定し，ウイルスを駆除する。解答例は，この三つの中から異なる二つを答えるものである。

図6 (2) は PC から上がってくる情報（更新時刻とバージョン，フルスキャン実行結果，ウイルス感染情報）を保管し，PC に動作指示を送るとあり，(3) は管理者が PC を指定してその指示を出せるとある。情報の“参照”と指示の“送信”の組合せで，一つの活用方法になる。

字数は 41〜42 字で，50 字以内に収まる。“フルスキャン”や“更新”だけでなく，対象の PC を絞る条件（1 週間を超えて実行されていない，更新されていない）まで書くと，具体的な活用方法になる。

本文の根拠

冒頭

問合せ内容及び問合せ者の連絡用メールアドレスを入力してもらうと，受付通知メールを連絡用メールアドレス宛てに送信する。

図8

From: saiyou@n-sha.co.jp

図8

To: user-zz@example.ne.jp

図8 の受付通知メールは，N 社の採用問合せ用メールアドレス（saiyou@n-sha.co.jp）から，入力された連絡用メールアドレス宛てに送られ，20〜21 行目にお問合せ内容がそのまま入る。連絡用メールアドレスに攻撃対象のメールアドレスを，お問合せ内容に誘導する Web サイトの URL を入力すれば，N 社の正規のアドレスから攻撃対象に，攻撃者の用意した URL を含むメールを送らせることができる。解答例は，連絡用メールアドレスが“攻撃対象のメールアドレス”，お問合せ内容が“誘導するWebサイトのURL”である。

H さんが受付通知メールを 1〜17 行目だけにするよう指摘したのは，18 行目以降（お名前・連絡用メールアドレスの再掲，お問合せ内容）を外せば，入力した内容が通知に入らず，この悪用ができなくなるからである。

字数は 12 字と 14 字で，どちらも 20 字以内に収まる。“攻撃者のメールアドレス”と書かないこと。受付通知メールの宛先は，攻撃者ではなく攻撃の対象になる第三者である。

本文の根拠

会話

当社で使用しているメールソフトでは，“http://”と“https://”で始まる文字列だけは，行頭であっても，行中であっても，クリック可能な URL として表示されます。

図10

String resultMailBody = mailBody.replaceAll("(?i)https?://","");

図10 注記

replaceAll は，第 1 引数に指定された正規表現にマッチする全ての文字列を，第 2 引数に指定された文字列に置換するメソッドである。

図10 の処理は，入力文字列から“http://”と“https://”を一度だけ取り除く。取り除いた結果，新しく“http://”ができる文字列を入力すれば，削除後にもクリック可能な URL が残る。例えば f を“hhttp://ttp”にすると，入力は“hhttp://ttp://www.example.ne.jp/~kojin/rirekisho.pdf”になる。先頭から見て最初に一致する“http://”（2 文字目から）を取り除くと“h”と“ttp://www.example.ne.jp/~kojin/rirekisho.pdf”が連なり，“http://www.example.ne.jp/~kojin/rirekisho.pdf”になる。解答例は“hhttp://ttp”など，“hhttp://ttps”“hhttps://ttp”“hhttps://ttps”の 4 通りで，どれか一つを答える。

置換は 1 回だけ行われ，置換後の文字列にもう一度一致するかどうかは調べないので，削除によって前後の文字がつながってしまう入力が有効になる。この対処は不完全なので，F さんは“別の方法”で対処することにした。

字数は 11〜13 字で，英字及び記号 15 字以内に収まる。“http://”の前に何かを足しただけの“xhttp://”では，削除後に“x”が残って URL でなくなる。“h”＋“http://”＋“ttp”の形に組み立てる。

本文の根拠

表2 脆弱性攻撃型マルウェア

起動したマルウェアは，同一 LAN 上の他のコンピュータに対し，OS の脆弱性を悪用する攻撃を試み，攻撃に成功すると当該コンピュータを同マルウェアに感染させる。

表3 中継PC方式

転送元となる LAN に転送用 PC を接続して，ファイルを PC 内に保存した後，転送先となる LAN に物理的に接続を切り替えて製造装置などにファイルを転送する。

脆弱性攻撃型マルウェアは，同一 LAN 上の他のコンピュータに感染を広げる。中継 PC 方式では，同じ転送用 PC が事務系 LAN と製造系 LAN の両方に接続される。事務系 LAN に接続した時点で転送用 PC がマルウェアに感染すると，その状態のまま製造系 LAN に接続された転送用 PC から，製造系 LAN 上の製造装置へ感染が広がる。解答例は“事務系LANへの接続時にマルウェアに感染した転送用PCを，その状態のままで製造系LANへ接続すると，製造装置へマルウェアの感染が広がる。”である。

USB メモリ方式で“製造装置への感染を防止できる”とされているのは，事務系と製造系の LAN が，どちらの転送用 PC も別々に接続されたままで，同一の機器が両方の LAN に接続されることがないからである。両者の違いは，LAN を物理的に切り替えて同じ PC を接続するかどうかである。

字数は 68 字で，75 字以内に収まる。“マルウェアの感染方法を踏まえて”とあるので，“同一 LAN 上の他のコンピュータに感染を広げる”という脆弱性攻撃型の性質に触れ，“感染した転送用 PC を製造系 LAN に接続する”という中継 PC 方式の手順と結び付けて書く。

採点講評（IPA）

設問1及び設問3は，LANを分離した上で安全にデータを送受信する仕組みについて出題した。このような仕組みの設計に当たっては，脅威を洗い出した上で，それらの脅威に直面した場合に情報資産を守れるのかを検討する必要がある。セキュリティ技術者として，日々現れる新しい脅威について理解するとともに，各種の対策が脅威に対して有効かどうか評価する能力を身につけてほしい。

本文の根拠

表6 利用者の限定と特定

他人による接続端末の利用を防止するために，利用者には，接続端末から離れる場合，b するように指導する。可能であれば，指導だけでなく強制する仕組みを整備する。

表6 パスワードの管理

パスワードは c ものを使用するよう指導するとともに，技術的に可能であれば，強制する仕組みを整備する。また，他人に d 管理するよう指導する。

b：他人による接続端末の利用を防ぐには，席を離れる際に端末を操作できない状態（画面ロックなど）にする。解答例は“操作禁止状態に”である。c：パスワードは，他人が推測できないものを使うよう指導し，できれば推測されやすいパスワードを設定できない仕組みで強制する。解答例は“他人が推測できない”である。d：パスワードは他人に知られないように管理する。解答例は“知られないように”である。

b は“他人による接続端末の利用を防止するために”という目的が，c・d は技術的な強制も組み合わせて“推測”と“漏えい”の両面から守るという構成が，それぞれ空欄を決める手掛かりになる。強制する仕組みは，b ではロックの自動化，c ではパスワードの複雑さの強制などが考えられる。

字数は b が 7 字，c が 9 字，d が 8 字で，どれも 10 字以内に収まる。b は“席を離れるときにロックする”と書きたくなるが，空欄の後ろに“するように指導する”が続くので，“操作禁止状態に”と，“に”で終える。d も“知られないように”と，後ろの“管理する”につながる形で書く。

本文の根拠

表6 脆弱性対策

接続端末に関する脆弱性が公表された場合には，速やかに e 。

冒頭

脆弱性修正プログラムの適用に当たっては，事前に K 工場内で動作検証を行っており，開発元による提供が開始されてから適用されるまでには，1 か月程度の日数を要している。

図3 Ⅳ.2.(1)

情報機器における脆弱性対策

接続端末は，K サーバにアクセスするための協力会社の PC である。脆弱性が公表されたときに必要なのは，まずその脆弱性が自社の接続端末にどう影響するかを評価し，影響があれば脆弱性修正プログラムを適用することである。解答例は“影響を評価し，必要であれば脆弱性修正プログラムを適用する”である。

問題文は，K 工場自身が脆弱性修正プログラムを適用する前に動作検証をしていると述べている。修正プログラムを評価なしに適用すれば，業務への影響が出るおそれがあり，逆に評価だけで適用しなければ，脆弱性が残る。“影響の評価”と“適用”の二つを，“必要であれば”でつなぐのが要点である。

字数は 28 字で，35 字以内に収まる。“速やかに脆弱性修正プログラムを適用する”だけでは，影響の評価が抜けるので得点にならない。“具体的に”とあるので，何をするか（評価と適用）を動詞で書く。

本文の根拠

〔K サーバの設計・構築〕(1)

情報共有系 LAN と製造系 LAN との間の一切の LAN 間通信を禁止するために，二つの LAN を分離する。

表2 ファイルばらまき型マルウェア

起動したマルウェアは，他のコンピュータ上で起動されることを期待して，同マルウェアに感染するような実行形式ファイルを共有ディスクや外部記憶媒体上に書き込む。

〔K サーバの設計・構築〕(2)

K サーバが FC を経由して利用できる機能は，単方向レプリケーションによってコピーされたボリュームをマウントする機能だけとした。

f（脆弱性攻撃型）：このマルウェアは同一 LAN 上のコンピュータを攻撃する。情報共有系 LAN と製造系 LAN は分離され，LAN 間の通信は一切できない（FW を介した接続も分離と認めない）ので，情報共有系 LAN に到達したマルウェアが製造系 LAN の製造装置を攻撃する通信は成立しない。解答例は“情報共有系LANと製造系LANの間で通信が成立することがない。”である。

g（ファイルばらまき型）：K サーバ側のボリュームへ書き込まれたファイルが製造系へ移る経路があれば感染が広がる。図4 では，製造統合管理サーバのボリュームから K サーバ側のボリュームへ単方向にコピーされるだけで，K サーバが使えるのはコピーされたボリュームのマウントだけである。K サーバ側へ実行形式ファイルが書き込まれても，製造系 LAN 側に転送されることはない。解答例は“情報共有系LAN上の機器へ実行形式ファイルが書き込まれても，製造系LANにファイルが転送されることがない。”である。

字数は f が 31 字，g が 53 字で，それぞれ 40 字と 60 字以内に収まる。f は“通信できない”とだけ書かず，どの LAN の間かを書く。g は“ファイルが書き込まれても”と“転送されない”の両方（原因と結果）を，マルウェアの感染方法（実行形式ファイルを書き込む）と結び付けて書く。

採点講評（IPA）

設問1及び設問3は，LANを分離した上で安全にデータを送受信する仕組みについて出題した。このような仕組みの設計に当たっては，脅威を洗い出した上で，それらの脅威に直面した場合に情報資産を守れるのかを検討する必要がある。セキュリティ技術者として，日々現れる新しい脅威について理解するとともに，各種の対策が脅威に対して有効かどうか評価する能力を身につけてほしい。

本文の根拠

〔K サーバ・協力会社〕(3)

インターネットとの接続は，協力会社各社の既設設備を使用できるように，回線種別，固定 IP アドレスが割り当てられるか否かについて制限しない。

〔K サーバ・協力会社〕(3)

協力会社内の LAN 構成については特に制限せず，プロキシサーバの有無及び NAT，NAPT の利用の有無にかかわらず利用できる。

アクセス元の IP アドレスで接続端末を限定するには，接続端末ごとに決まった IP アドレスで K サーバに届くことが前提になる。ところが，協力会社の接続は固定 IP アドレスが割り当てられるかどうかを問わないので，IP アドレスが動的に割り当てられる回線では，K サーバが端末を特定の IP アドレスで限定することができない。また，協力会社内にプロキシサーバや NAT，NAPT があると，K サーバから見たアクセス元は，プロキシサーバや NAT 装置のアドレスであって，社内の個々の接続端末を識別できない。解答例は，①“IPアドレスが動的に割り当てられるインターネット回線を利用している協力会社に対応できない。”，②“プロキシサーバを利用している協力会社の場合，社内の接続端末の個別識別ができない。”である（順不同）。

本文の前提のうち，“回線種別，固定 IP アドレスが割り当てられるか否か”と“プロキシサーバの有無及び NAT，NAPT の利用の有無”の二つが，それぞれ根拠になる。問題文は IP アドレスについて 2 点を制限しないと書いているので，その 2 点が 2 つの根拠に対応する。

字数は 45 字と 40 字で，それぞれ 50 字以内に収まる。“IP アドレスが変わる”だけでは根拠が弱いので，対応できない協力会社の条件（動的割当の回線，プロキシサーバ）まで書く。

本文の根拠

〔K サーバ・接続端末の制限〕(3)

IA（発行局）については J 社本社のプライベート CA を利用し，RA（登録局）については K 工場が担当する。

〔K サーバ・接続端末の制限〕(3)

J 社本社のプライベート CA は，証明書発行業務を，一切，他に委任していない。

図5

注記 それぞれ一意の識別名をもつ証明書を，接続端末ごとに発行する。

表8 の各役割は，次のように割り当てる。h（識別名の一意性の確保）は，RA である K 工場。i（発行可否の判断）も，RA を担当する K 工場（図5 で協力会社の申込みを受けた K 工場が J 社本社に発行を依頼する）。j（発行者としてのディジタル署名の付与）は，IA である J 社本社。k（K サーバに提示された証明書の有効性検証）は，K サーバを運用する K 工場。l（CRL の発行）は，証明書の発行者である J 社本社。解答例は，h＝K 工場，i＝K 工場，j＝J 社本社，k＝K 工場，l＝J 社本社である。

図5 は，協力会社が K 工場（RA）に申し込み，K 工場が J 社本社（IA）に発行を依頼し，J 社本社が協力会社へ発行する流れである。J 社本社は発行業務を他に委任しておらず，中間 CA ではなくルート CA であるため，署名と CRL の発行は J 社本社だけが行う。

組織を選ぶ設問で字数制限は無い。k は“J社本社”としたくなるが，証明書を提示する相手は K サーバであり，有効性を検証するのは K サーバを運用する K 工場である。協力会社は証明書のインストールと提示までを担当する。

採点講評（IPA）

設問4は，Webサーバへアクセスする端末の認証に関する問題である。(2)は，PKIの基本とも言える内容である。また，(3)及び(4)では，証明書の有効性検証では，端末がもっている秘密鍵（鍵ペア）の正当性を検証していることを理解していない解答が目立った。これらを理解できていなければ，PKIを応用したシステムを設計することができないので，確実に理解してほしい。

本文の根拠

表8

鍵ペアの作成：K 工場。

図5

注記 それぞれ一意の識別名をもつ証明書を，接続端末ごとに発行する。

〔K サーバ・接続端末の制限〕

P さんは，表 6 の実施規程において K サーバを利用する接続端末を限定するとしているものの，それを実現する技術的な仕組みがないことが気になっていた。

証明書の鍵ペアを利用者側で作る原則は，秘密鍵を作った本人だけが持つようにして，なりすましや秘密鍵の流出を防ぐためである。ここで作る鍵ペアは，K サーバへのアクセスだけに使う。そのため，K 工場が作成しても，他のシステムで悪用されたり，他の用途の通信が危険になったりすることはない。解答例は“Kサーバへのアクセスだけに使用する鍵ペアだから”である。

本文の“接続端末ごとに一意の識別名をもつ証明書を発行する”とは，端末を K サーバに対して識別する証明書であることを示す。この証明書は K サーバの利用者認証の入口になるだけで，他の目的の署名や暗号に使うものではない。

字数は 23 字で，35 字以内に収まる。“K 工場が管理できるから”のように作成する側の事情だけを書くと，なぜ原則の例外が許されるのかが説明できていない。鍵ペアの用途が K サーバへのアクセスに限られることを理由にする。

採点講評（IPA）

設問4は，Webサーバへアクセスする端末の認証に関する問題である。(2)は，PKIの基本とも言える内容である。また，(3)及び(4)では，証明書の有効性検証では，端末がもっている秘密鍵（鍵ペア）の正当性を検証していることを理解していない解答が目立った。これらを理解できていなければ，PKIを応用したシステムを設計することができないので，確実に理解してほしい。

本文の根拠

〔K サーバ・接続端末の制限〕(4)

証明書の失効処理は，②協力会社が K サーバの利用を取りやめる申請をした場合以外にも行う必要があり

〔K サーバ・接続端末の制限〕(4)

また，秘密鍵の機密性を保つために，協力会社へ周知すべき技術的事項を検討した。

図5

注記 それぞれ一意の識別名をもつ証明書を，接続端末ごとに発行する。

証明書は接続端末ごとに発行され，K サーバへのアクセスを許す根拠になる。協力会社が利用を取りやめる場合以外に失効が必要になるのは，その証明書で接続してはならなくなったときである。一つは，証明書に対応した秘密鍵の漏えいが疑われる場合で，第三者が正規の端末になりすませるおそれがある。もう一つは，接続端末を廃棄する場合で，廃棄後に証明書や秘密鍵が悪用されないようにする。解答例は，①“証明書に対応した秘密鍵の漏えいが疑われる場合”，②“接続端末を廃棄する場合”である（順不同）。

本文の“秘密鍵の機密性を保つために協力会社へ周知すべき技術的事項”は，秘密鍵の漏えいが失効の契機になることを示している。失効した証明書は，K サーバが CRL などで有効性を確認するときに拒否される。

字数は 22 字と 11 字で，どちらも 30 字以内に収まる。“紛失した場合”“盗難にあった場合”などでもよいが，証明書ではなく秘密鍵が危うくなる場合か，端末が使われなくなる場合のどちらかを書く。取り違えやすいのは，証明書の有効期限切れを書く誤りで，これは更新の問題であり，失効（期限前の無効化）の対象ではない。

採点講評（IPA）

設問4は，Webサーバへアクセスする端末の認証に関する問題である。(2)は，PKIの基本とも言える内容である。また，(3)及び(4)では，証明書の有効性検証では，端末がもっている秘密鍵（鍵ペア）の正当性を検証していることを理解していない解答が目立った。これらを理解できていなければ，PKIを応用したシステムを設計することができないので，確実に理解してほしい。