(登録セキスペ)の午後問題の頻出分野「認証・アクセス制御」の攻略ポイントと過去問についてまとめました。(1)多要素認証の実装をSサービス側に用意せずに済む。「前回の脆弱性診断で、認証方式を多要素認証にする方がよい」との助言を受けて、今回の改修でそれを目指している。※SNSと連携しない場合にも該当する欠点だと駄目。注記に記載の通り、Sサービスの利用を開始するためにはアカウント名(T-ID)を利用するため、SサービスがTサービスのリソース(=アカウント名)へアクセスが必要となる。OAuthのCSRF攻撃のこと。攻撃者が利用者とSサービスの間に入り込み中継することで、利用者からはSサービスの利用が開始されたように見える。問題となるのは『攻撃者の用意したアカウントが利用者のTサービスと紐付けられる』とあり、攻撃者は利用者のアカウントに不正アクセスしファイルを参照できてしまう点である。攻撃者が用意したアカウントに利用者が導かれてしまう攻撃手法。利用者は攻撃者のアカウントでログインしていることに気付かず、ファイルをアップロードすることで攻撃が成功します。stateパラメタは「認可コードを送るタイミング」「認可コードを受けるタイミング」のそれぞれで送信される。図2に記載の通り、Sサービス利用時はTサービスのアカウント名が必要。Tサービスで認証されたS会員のT-IDが、Sサービス内に登録されていることを確認する。図2注記より、SサービスはTサービスから連携されたT-IDを利用して、認証を行います。問題に登場するキーワードの中でポイントを以下にまとめました。OAuthとは、複数のWebサービスのセキュリティ機能を連携させることができる仕組みです。通常、あるユーザーがWebサービスを利用する場合、Webサービス毎にIDとパスワードを登録してログインする必要があります。OAuthにより複数のWebサービスを連携すれば、1つのWebサービスにログインすれば連携している他のWebサービスにはログインせずに利用できるようになります。最近だと、GoogleやTwitterアカウントなどでログインできるWebサービスが増えていますが、そういった仕組みがOAuthです。802.1Xのシーケンスについて、DHCPサーバからIPアドレスを割り当てるタイミングを理解している必要がある。問題に登場するキーワードの中でポイントを以下にまとめました。DHCPサーバが存在しない、もしくはDHCPサーバが割当て可能なアドレス数を超過してIPアドレスが割り当てられなかったとき、個々のコンピュータが自分自身に割り振る特別なIPアドレス。IPv4アドレスでリンクローカルアドレスとして使われる範囲は、「169.254.0.0~169.254.255.255」で、それぞれのローカルネットワーク上でしか使うことができない。自己割り当てIPアドレス、AutoIPともいう。LAN上のパソコンなどが起動すると、その都度、IPアドレスなどのネットワーク利用に必要な設定情報を、本商品から各パソコンなどに自動的に割り当てる機能で動的割り当てのために用意したアドレスプールを超える数のクライアントが同時にネットワークに接続されると、割り当てるIPアドレスが足りなくなる。クライアントからの要求に対して提案IPを添えてDHCP提案をすること。OFFERの数は2になる。TLSクライアントから、TLSサーバーへID・パスワードの代わりとなるクライアント証明書を送信し、サーバーで認証を行う認証方式。クライアント側にクライアント証明書を一度インストールすれば、ID/パスワードの入力をせずにクライアント認証できるのが最大の利点です。サーバ側には「クライアント証明書のルート証明書」が必要になります。(JIPDEC)が定めた評価制度(ISMS適合性評価制度)。指定の審査機関が企業の情報セキュリティマネジメントシステムを審査し、国際標準と同等の「ISMS認証基準」に準拠していれば(要求事項を満たしていれば)、認証を与えるというもの。情報システムの調達において、発注者側が受注者側にISMS認証を取得していることを要件とすることがあります。異なるインターネットドメイン間でユーザー認証を行うためのXMLをベースにした標準規格です。SAMLを利用すると、ユーザーは認証サーバーに1回ログインするだけで、SAML対応している複数のクラウドサービスやWebサービスを利用することができるようになります。SSO(シングルサインオン)の種類の1つです。企業のID管理などの認証基盤をクラウド上から提供するサービス。クラウドサービスとして提供すること。必要な機能を必要な分だけサービスとして利用できるようにしたソフトウェアもしくはその提供形態のこと。Online、ファイド、訳:素早いオンライン認証)は従来のパスワードに代わるとみられている認証技術の1つ。生体認証などを利用するため「ユーザーはパスワードを憶える必要がない」「生体認証を端末側で行うことで「生体情報そのものはネットワーク上に流れない、サーバーで保持しない」ためインターネット上には生体情報が流通せず、情報漏洩のリスクが軽減される」という特徴がある。ワンタイムパスワード(OTP)とは、使い切りのパスワードのこと。Radiusサーバ、Radiusクライアント、ユーザーの3つの要素で構成される。Radiusクライアントは、アクセスしてくるユーザの認証要求を受け付けてRadiusサーバにその情報を転送します。Radiusサーバは、その認証要求に応じて認証を実行してアクセスを許可するかどうかを決定します。認証時に使用するユーザ情報はRadiusサーバがローカルデータベースとして保持するか、外部データベースとして保持します。認可エンドポイントに認可リクエストを投げ、応答として直接アクセストークンを受け取るフロー。【通信プロトコルとは】インタフェース、TCP/IP、HDLC、CORBA、HTTP、DNS、SOAP、IPv6、シリアル通信ネットワークにおける「通信プロトコル」とは?プロトコルとインタフェース、TCP/IP、HDLC、CORBA、HTTP、DNS、SOAP、IPv6、シリアル通信についてまとめました。伝達、モニタリング、ITへの対応についてまとめました。【バブルソート法(交換法)とは】リストの昇順・降順ソートと計算量バブルソート法(交換法)とは?リストを昇順・降順ソートする手順について解説します。おける午後問題「情報セキュリティ」の過去問・解説についてまとめました。本人の同意を得る必要がある場合と例外についてまとめました。コメントをキャンセルメールアドレスが公開されることはありません。※サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。上に表示された文字を入力してください。