日々是ネットワーク #1 ＩＰアドレスで個人が特定されない理由

ＩＰアドレスはインターネットの住所みたいなもので、インター
ネットにつながっているＰＣは全部ＩＰアドレスがないとダメだ
って習った。つまりＩＰアドレスが流出すると誰がどのような行
動をしたか、ログを辿ればわかるんじゃないの？

つまり、さＸしーは５ｃｈに書き込んでるんじゃないの？

基本的なことは間違ってません

その通りです。ＩＰアドレスがなければ、インターネットへの接
続はできません（正確にいえば、通信はできません）なので、Ｉ
Ｐアドレスのログを取れば、その人の行動が特定できますし。

某掲示板に書き込んだかどうかなんて、特定できそうなものです。

しかし、IPv4という現行のインターネットの世界ではそうとは限
りません。

ＩＰアドレスは共用されています

インターネットで使用するＩＰアドレスは「グローバルＩＰ」と
いって特別なものなのですが、実は現在この数が足りておらず。

グローバルＩＰアドレスは組織に１つしか割り当たりません。
（とは限らないけどそういうことにしてね）

なので、一つの組織で一つのグローバルＩＰをみんなで代わりば
んこに使う事になります。ほぼ、全ての企業や団体がそのように
しているのでおそらく、今回の件もそうでしょう。

（グローバルＩＰを持っている個人、もあり得るのでそういう場
　合はこの考え方は通用しませんけどね）

もっと知りたい人は、NATとかNAPTとかで調べてください。

共用なので

当然、グローバルＩＰアドレスだけでは本人の書き込みかどうか
は判断できません。この組織からのアクセス！程度の断定しかで
きません。

ところが、新しい仕組みであるIPv6の世界になると・・・

特定できます！

v６は不足しているアドレス問題を一気に解決します、ＩＰアドレ
スが無限大に近くなるので、NATやらNAPTやら、そういう仕組み
からインターネットを開放してくれるわけです。

ＩＰアドレスがほぼ無限大の世界では、全ての機器にグローバルＩ
Ｐみたいなアドレスが割りあたるとお考えください。


と、いうことは本人の特定は可能になります。

そうか、今回流出したＩＰアドレスがv６のものであるならば。
掲示板と一致していれば、確実に本人のものであるといえるわけ
で、誤魔化しも効かなくなりますが。そうではないところを見る
と、v６の世界になっていなくてよかったですよね。

まいにちＳＣ 平成３０年春問題解説 問７ 問８ 問９

公開鍵やら秘密鍵はわかりにくいですよね。


情報処理安全確保支援士試験の平成３０年春午前の問
題（全２５問）を３問ずつ解いていきます。問題の解
き方や考え方をわかりやすく、解説してみる連載です。

なお、問題の引用ルールはＩＰＡに準じています。

問７
発信者がメッセージのハッシュ値からディジタル署名
を生成するのに使う鍵はどれか。

ア　受信者の公開鍵
イ　受信者の秘密鍵
ウ　発信者の公開鍵
エ　発信者の秘密鍵

問８
X.509におけるCRL(Certificate Revocation List)に
関する記述のうち、適切なものはどれか。

ア　PKIの利用者は、認証局の公開鍵がWebブラウザに
　　組み込まれていれば、CRLを参照しなくてもよい。
イ　認証局は、発行した全てのディジタル証明書の有効
　　期限をCRLに登録する。
ウ　認証局は、発行したディジタル証明書のうち、失効
　　したものは、シリアル番号を失効後 1年間CRL に登
       録するよう義務付けられている。
エ　認証局は、有効期限内のディジタル証明書のシリア
　　ル番号をCRLに登録することがある。

問９
認証デバイスに関する記述のうち、適切なものはどれか。

ア　USBメモリにディジタル証明書を組み込み、認証デ
　　バイスとする場合は、そのUSBメモリを接続するPC
　　のMACアドレスを組み込む必要がある。
イ　成人の虹彩は、経年変化がなく、虹彩認証では、認
　　証デバイスでのパターン更新がほとんど不要である。
ウ　静電容量方式の指紋認証デバイスは、LED照明を設
　　置した室内では正常に認証できなくなる可能性が高
　　くなる。
エ　認証に利用する接触型ICカードは、カード内のコイ
　　ルの誘導起電力を利用している。

まいにちＳＣ 平成３０年春問題解説 問４ 問５ 問６

エクスプロイトも、呪文みたいでかっこいいですよね。


情報処理安全確保支援士試験の平成３０年春午前の問
題（全２５問）を３問ずつ解いていきます。問題の解
き方や考え方をわかりやすく、解説してみる連載です。

なお、問題の引用ルールはＩＰＡに準じています。

問４
エクスプロイトコードの説明はどれか。

ア　攻撃コードとも呼ばれ、脆弱性を悪用するソフトウェ
　　アのコードのことであるが、使い方によっては脆弱性
　　の検証に役立つこともある。
イ　マルウェアのプログラムを解析して得られる、マルウ
　　ェアを特定するための特徴的なコードのことであり、
　　マルウェア対策ソフトの定義ファイルとしてマルウェ
　　アの検知に用いられる。
ウ　メッセージとシークレットデータから計算されるハッ
　　シュコードのことであり、メッセージの改ざんの検知
　　に用いられる。
エ　ログインの度に変化する認証コードのことであり、窃
　　取されても再利用できないので不正アクセスを防ぐ。

問５
シングルサインオンの実装方式に関する記述のうち、適切
なものはどれか。

ア　cookieを使ったシングルサインオンの場合、サーバ
　　ごとの認証情報を含んだcookieをクライアントで生
　　成し、各サーバ上で保存、管理する。
イ　cookieを使ったシングルサインオンの場合、認証対
　　象の各サーバを、異なるインターネットドメインに
　　配置する必要がある。
ウ　リバースプロキシを使ったシングルサインオンの場合、
　　認証対象のWebサーバを、異なるインターネットドメ
　　インに配置する必要がある。
エ　リバースプロキシを使ったシングルサインオンの場合、
　　利用者認証においてパスワードの代わりにディジタル
　　証明書を用いることができる。

問６
ファイアウォールにおけるダイナミックパケットフィルタ
リングの特徴はどれか。

ア　IPアドレスの変換が行われるので、ファイアウォ
　　ール内部のネットワーク構成を外部から隠蔽できる。
イ　暗号化されたパケットのデータ部を復号して、許可さ
　　れた通信かどうかを判断できる。
ウ　過去に通過したリクエストパケットに対応付けられる
　　戻りのパケットを通過させることができる。
エ　パケットのデータ部をチェックして、アプリケーショ
　　ン層での不正なアクセスを防止できる。

まいにちＳＣ 平成３０年春問題解説 問１ 問２ 問３

新しい連載ですよ！


情報処理安全確保支援士試験の平成３０年春午前の問
題（全２５問）を３問ずつ解いていきます。問題の解
き方や考え方をわかりやすく、解説してみる連載です。

なお、問題の引用ルールはＩＰＡに準じています。

問１
CVSS v3の評価基準には、基本評価基準、現状評価基
準、環境評価基準の三つがある。基本評価基準の説明
はどれか。

ア 機密性への影響、どこから攻撃が可能かといった攻撃
　元区分、攻撃する際に必要な特権レベルなど、脆弱性
　そのものの特性を評価する。

イ 攻撃される可能性、利用可能な対策のレベル、脆弱性
　情報の信頼性など、評価時点における脆弱性の特性を
　評価する。

ウ 脆弱性を悪用した攻撃シナリオについて、機会、正当
　化、動機の三つの観点から、脆弱性が悪用される基本
　的なリスクを評価する。

エ 利用者のシステムやネットワークにおける情報セキュ
　リティ対策など、攻撃の難易度や攻撃による影響度を
　再評価し、脆弱性の最終的な深刻度を評価する。

問２
Webサーバのログを分析したところ、Webサーバへの攻
撃と思われるHTTPリクエストヘッダが記録されていた。
次のHTTPリクエストヘッダから推測できる、攻撃者が
悪用しようとしている脆弱性はどれか。ここで、HTTP
リクエストヘッダはデコード済みである。

〔HTTPリクエストヘッダの部分〕
GET /cgi-bin/submit.cgi?user=;cat /etc/passwd HTTP/1.1
Accept: */*
Accept-Language: ja
UA-CPU: x86
Accept-Encoding: gzip、deflate
User-Agent: (省略)
Host: test.example.com
Connection: Keep-Alive

ア HTTPヘッダインジェクション
イ OSコマンドインジェクション
ウ SQLインジェクション
エ クロスサイトスクリプテイング

問３
XMLディジタル署名の特徴のうち、適切なものはどれ
か。

ア XML文書中の、任意のエレメントに対してデタッチ署名
　(Detached Signature)を付けることができる。

イ エンベローピング署名(Enveloping Signature)では一
　つの署名対象に必ず複数の署名を付ける。

ウ 署名形式として、CMS(Cryptographic Message Syntax)を
　用いる。

エ 署名対象と署名アルゴリズムをASN.1によって記述する。