MITB 攻撃とトランザクション署名

MITB 攻撃の仕組み

MITB 攻撃では，利用者の PC に入り込んだマルウェアが，ブラウザの中に潜みます。 利用者が本物のインターネットバンキングにログインし，振込先と金額を入力して送信すると， マルウェアがその内容を送信の直前に攻撃者の口座などに書き換えます。 画面には利用者が入力したとおりの内容を見せたままにするので，利用者は気づきません。

接続先は本物のサイトで，ログインも利用者本人がしています。銀行から見ると，正しい利用者から正しい通信で届いた振込の依頼です。 ここが，偽サイトに誘い込む攻撃や，通信の途中に割り込む攻撃との違いです。

トランザクション署名

トランザクション署名では，利用者が送金するときに，振込先の口座番号や金額などの取引の内容を， PC とは別の機器（ハードウェアトークンやスマートフォン）にも入力します。 その機器が取引の内容から作った値を，利用者がインターネットバンキングに送ります。 銀行は，自分が受け取った取引の内容から同じように値を作り，送られてきた値と比べます。

マルウェアが PC のブラウザで振込先を書き換えても，別の機器に入力した振込先は書き換えられません。 値が合わなくなるので，銀行は利用者が入力した取引の内容と，銀行が受け取った内容に食い違いがあることに気づけます。

ほかの対策が効かない理由

対策を選ぶ問題で，誤りの選択肢として決まって並ぶのが次の3つです。

どれも，攻撃が起きる場所（PC のブラウザの中，ログインの後）を守っていません。 ログイン用ではなく，取引ごとの内容に結び付いた確認が要る，というのがトランザクション署名の考え方です。

試験での問われ方

当サイトが収録している科目A（午前）の問題のうち，MITB・Man-in-the-Browser・トランザクション署名の語が出てくるのは8問です。 ほとんどが情報処理安全確保支援士の科目A-2（午前Ⅱ）です。型ごとに数えると次のとおりです。

• MITB 攻撃に有効な対策（4問）。正解はどれも「インターネットバンキングでの送金時に…利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する」です。 誤りの選択肢は，EV SSL サーバ証明書・ログイン認証のワンタイムパスワード・SSL ではなく TLS での暗号化で，4問とも同じ組合せです。
• トランザクション署名の仕組み（2問）。トランザクション署名の説明（「送金操作を行う PC とは別のデバイスに振込先口座番号などの取引情報を入力して表示された値」を送る）と， ハードウェアトークンの処理で「振込先口座番号と振込金額が改ざんされていないことを確認できる」を選ぶ問題です。
• MITB 攻撃に該当するもの（1問）。「PC に侵入したマルウェアが，利用者のインターネットバンキングへのログインを検知して，Web ブラウザから送信される振込先などのデータを改ざんする」を選びます。 誤りの選択肢は，DNS サーバのキャッシュの書き換え，偽サイトへ誘導する電子メール，正規サイトに見せかけた中継サイトです。
• このほか，CDN を利用して影響を軽減できる脅威（正解は DDoS 攻撃）の選択肢に出てきます。

出題された過去問（8問）

リンク先の年度ページで，問題と解説を読めます。

関連する用語

TLS（SSL）　パスキーと FIDO2（パスワードレス認証）　DNS のセキュリティ（DNSSEC・キャッシュポイズニング）