SCの過去問の解答で説明ができないものが数問あります。内容としては、『フィッシング対策としてのWebAuthnによるパスワードレス認証』になります。『秘密鍵がないと署名の検証に失敗して認証できないから』はよくある誤答となっております。正答である『認証サーバXでオリジンbとオリジンsの確認をしているから』の具体的な手順についての説明が不明です。認証サーバ間で中間者攻撃が行われると想定されます。その際に、攻撃者がオリジンbを偽装できないことを具体的に説明ができないです。説明のためには、WebAuthnのリクエスト&レスポンスを理解する必要があると思われます。12:59通りすがりさん(No.3)興味があったので調べてみました。専門ではないため間違っていたら申し訳ないです。オーセンティケータは登録時のオリジンを記憶しているようです。※オリジンをもとに生成されるRPIDが利用される。そのため認証時に偽サイトにアクセスしていた場合、WEBブラウザがアクセスしているサイトのオリジンの値(オリジンb)とRPIDの検証に失敗し、オーセンティケータでエラーとなり処理が終了します。RPIDの検証に異常があったにもかかわらず、何らかの理由によりオーセンティケータから認証サーバXへ送信されてしまった場合、サーバX側でもRPIDの値を検証(おそらくオリジンbとオリジンsの一致を確認の部分)して、異常があればエラーになります。オリジンbに関しては、オーセンティケータが取得するオリジンbの値はブラウザが接続中のWEBサイトのオリジンの値になるため、偽サイトのオリジンになります。その後、サーバXへデータが渡される際にオリジンbが正規の値へ改ざんがされた場合、署名Mが存在するため改ざんの検知ができます。ダイヤモンドマイスター>通りすがりさん調べていただきありがとうございます。>また、オリジンbに関しては、オーセンティケータが取得するオリジンbの値は>ブラウザが接続中のWEBサイトのオリジンの値になるため、偽サイトのオリジンに>なります。>その後、サーバXへデータが渡される際にオリジンbが正規の値へ改ざんがされた場合、>署名Mが存在するため改ざんの検知ができます。この流れが一番納得のいく説明と感じます。通りすがりさんに調べていただいた件を私なりにまとめて書き出してみました。「公開鍵Kを用いて署名Mを検証」は失敗する以上の2パターンにより、中間者攻撃を阻止することができる。IPAの解答例「認証サーバXでオリジンbとオリジンsの一致を確認しているから」という文言は、この2パターンを端的かつ要約したものと考えられます。_)mありがとうございます。本設問を精査していて、国語的に感じたことがあります。本設問は以下の下線4の理由を解答するものです。正答は文章が肯定文であるのに対し、誤答は文章が否定文となっています。下線4は「利用すれば」~「できる」という文章構造になっています。「認証サーバXでオリジンbとオリジンsの確認」を肯定文で解答すべきと読み取れます。反して、誤答は「所持していないから」という否定文です。誤答は中間者攻撃で中間者ができること・できないことが焦点の文章になっています。これは、下線4は「利用すれば」~「できる」という文章構造に対して否定文を解答しており、文章の関連性が乏しくポイントを外していると考えられます。実際に解答するときに、ここまで細かく意識して文章を精査・構成するのは大げさかもしれません。最終的な解答文が「肯定文」か「否定文」か、そして設問の文書との関連性が適切かは確認するくらいはするのがよいと思います。Reserved.▲Pagetop。