情報セキュリティ 基礎 ― 脅威・攻撃手法・暗号・認証

情報セキュリティの 7 つの特性とリスクの構造

情報セキュリティとは、情報資産を機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）の 3 点で守ることです。頭文字を取って CIA と呼びます。JIS Q 27000 はこの 3 つに加え、真正性・責任追跡性・否認防止・信頼性の 4 つを挙げています。試験ではこの 7 つの定義文がそのまま選択肢になるので、隣り合う特性との差を自分の言葉で言えるようにしておきます。

リスクは単独では存在しません。守るべき情報資産があり、そこに損害を与えうる脅威が働き、つけ込まれる弱点である脆弱性がそろってはじめて顕在化します。セキュリティ対策とは、この 3 つのどれかを小さくする行為だと考えると、対策の分類がそのまま頭に入ります。脅威は次の 3 つに分けて整理します。

• 人的脅威: 誤操作・誤謬・紛失・アクセス権の誤設定・内部不正・ソーシャルエンジニアリング・盗み見（ショルダーハッキング）・ごみ箱あさり（スキャベンジング）・SNS の悪用
• 技術的脅威: マルウェア感染・不正アクセス（クラッキング）・盗聴・改ざん・なりすまし・サービス妨害・踏み台にされること
• 物理的脅威: 地震や水害などの災害・機器の故障・破壊・盗難・侵入

脆弱性の側にもソフトウェアのバグやセキュリティホールだけでなく、規程や職務分掌が未整備であること、教育が徹底されていないこと（人的脆弱性）、内部統制の不備、情報システム部門が把握していない機器やクラウドを業務に使うシャドー IT が含まれます。1 つの対策に頼らず、入口・内部・出口に複数の防御を重ねる考え方を多層防御、企画・設計の段階からセキュリティやプライバシー保護を組み込む考え方をセキュリティバイデザイン・プライバシーバイデザインと呼びます。

脅威 ― マルウェアと攻撃者

マルウェアは「増殖するか」「宿主が要るか」「何を目的とするか」の 3 点で切り分けると、定義選択問題で迷いません。特にウイルス・ワーム・トロイの木馬の区別は繰り返し問われます。

ボットは 1 台でも厄介ですが、脅威の本体は多数のボットを束ねたボットネットです。攻撃者（ボットハーダー）は感染端末に直接命令せず、C&C サーバ（Command and Control サーバ）を経由して指令を配ります。図 11-1 の破線が指令と攻撃の流れです。感染側の通信は「外向きの見慣れない宛先への定期的な接続」として現れるので、ファイアウォールや URL フィルタリングで C&C 通信を遮断できれば、感染しても被害の進行を止められます。

攻撃者は一枚岩ではありません。既製のツールを使うだけのスクリプトキディ、ボットネットを操るボットハーダー、政治的主張のために攻撃するハクティビズム、社会機能の破壊を狙うサイバーテロリズム、そして権限を持つ内部犯がいます。動機の側から分けると、腕試しや目立ちたさで行う愉快犯、金銭をだまし取る詐欺犯、違法と分かったうえで行う故意犯になります。設計の段階で「どこがどう狙われるか」を洗い出し、対策の優先順位を決める作業を脅威モデリングと呼びます。金銭目的の攻撃はサービス化が進み、ランサムウェアを道具として貸し出す RaaS（Ransomware as a Service）や、盗んだデータを公開するリークサイト、匿名で売買が行われるダークウェブが背景にあります。

内部不正は、不正のトライアングル（機会・動機・正当化）の 3 条件がそろったときに起きるとされます。技術的対策で「機会」を減らすだけでなく、ログを取得していることの周知や処遇の改善で「動機」「正当化」を断つ発想が、科目 B の理由記述で問われます。「機会」を環境の側から取り除く考え方には、犯行が成立しにくい状況をあらかじめ作る状況的犯罪予防、小さな乱れを放置すると重大な不正を招くとする割れ窓理論、建物や設備の設計段階から犯罪を起こしにくくする防犯環境設計があります。

攻撃手法（1）パスワードと Web アプリケーション

シラバスの「攻撃手法」は科目 A で直近 10 年 33 問と、中分類 11 の中で最も厚い小分類です。攻撃名を丸暗記するのではなく、手口 → 直接起きること → 効く対策の 3 点セットで覚えると、定義選択でも対策選択でも同じ知識が使えます。まずパスワードを狙う攻撃から見ます。

図 11-2 は、横軸にパスワード候補・縦軸に利用者 ID を取った「組合せの平面」の上で、3 つの攻撃がどの向きに探索するかを示したものです。アカウントロックは「同じ ID への連続失敗」を数える仕組みなので、横に走る攻撃には効き、縦に走る攻撃には効かない、と平面で見ると一目で分かります。

次に Web アプリケーションへの攻撃です。入力値が「データ」ではなく「命令」として解釈されてしまうのがインジェクション系、ブラウザに他人の意図した動作をさせるのがクロスサイト系、と大きく 2 つに分けて覚えます。

攻撃手法（2）ネットワークと人を狙う攻撃

ネットワーク層の攻撃は「詐称するもの」で整理できます。IP アドレスを詐称するのが IP スプーフィング、MAC アドレスを詐称するのが ARP スプーフィング、名前解決の結果を詐称するのが DNS キャッシュポイズニングです。

DNS キャッシュポイズニングは中分類 11 の中で最多クラスの 6 回出題（攻撃そのものが 4 回、対策が 2 回）です。図 11-3 のように、キャッシュ DNS サーバが本物の権威 DNS サーバの応答を待っている隙に、攻撃者が正規の応答より早く偽の応答を届けるのが手口です。キャッシュは偽の IP アドレスを一定期間覚えてしまうので、その間に問い合わせた利用者全員が偽サイトへ誘導されます。

人をだます攻撃も出題されます。標的の組織向けに文面を作り込んだメールを送る標的型攻撃、その中でも長期間潜伏して継続的に侵害する APT（Advanced Persistent Threat）、標的がよく見るサイトを改ざんして待ち伏せる水飲み場型攻撃、業務のやり取りを装って複数回メールを交わしてから添付ファイルを送るやり取り型攻撃、取引先や経営者になりすまして送金させるビジネスメール詐欺（BEC）、偽サイトへ誘導して認証情報を入力させるフィッシング（SMS を使うものはスミッシング）が代表格です。検索結果の上位に悪意のあるサイトを表示させる SEO ポイズニング、取引先や委託先、ソフトウェアの配布経路を踏み台にするサプライチェーン攻撃も近年の題材になっています。技術を使わず、電話や訪問で情報を聞き出したり、肩越しに画面をのぞき見たり（ショルダーハッキング）、廃棄書類をあさったりする手口を総称してソーシャルエンジニアリングと呼びます。

修正プログラムが提供される前の脆弱性を突く攻撃をゼロデイ攻撃といいます。定義ファイルの更新やパッチ適用では防げないため、振る舞い検知や、機能の一時停止・回避策といった暫定対応が問われます。また、AI を悪用した攻撃も用語例に加わりました。実在の人物の映像や音声を偽造するディープフェイク、AI モデルが誤認識するよう細工した入力を与える敵対的サンプル、生成 AI に不正な指示を紛れ込ませて本来の制約を外させるプロンプトインジェクションを押さえておきます。

攻撃の段階と脆弱性情報

標的型攻撃は 1 回のメールで完結しません。攻撃者の行動を時系列で 7 段階に分けたモデルがサイバーキルチェーンで、科目 A では「偵察の段階に当たるのはどれか」「エクスプロイトの段階はどれか」という形で問われます。図 11-4 の並びと、各段階で攻撃者が何をするかをセットで覚えます。

①の偵察で使われるのが、公開情報から組織の構成を調べるフットプリンティングと、稼働中のサービスを探るポートスキャンです。こうした探索は、到達可能でありながら使われていない IP アドレス空間であるダークネットを観測することで、攻撃の傾向として外側から把握できます（直近 10 年で 2 回出題）。⑤〜⑦の段階では、侵入した 1 台を足がかりに社内の他の端末やサーバへ横方向に侵害を広げるラテラルムーブメントが行われます。攻撃者の戦術（何を狙うか）と技術（どうやるか）を体系化した知識ベースが MITRE ATT&CK で、キルチェーンより細かい粒度で攻撃の振る舞いを分類し、検知ルールの設計に使われます。

攻撃の材料になる脆弱性の情報は、共通の識別子と評価尺度で流通しています。名前が似ているので混同しないよう、「番号（CVE）・点数（CVSS）・種類（CWE）・国内ポータル（JVN）」と対応づけて覚えます。

暗号技術 ― 共通鍵・公開鍵・ハイブリッド

暗号方式は科目 A で直近 10 年 12 問（うち共通鍵暗号方式が 5 問、楕円曲線暗号が 2 問）と、暗号分野の中で最も出る小分類です。共通鍵暗号は暗号化と復号に同じ鍵を使い、公開鍵暗号は対になった 2 つの鍵を使います。この 1 行の差から、速度・鍵の数・課題のすべてが導けます。

鍵の総数は図 11-5 のように 4 人で描くと違いが見えます。共通鍵は「線の本数」、公開鍵は「人数 × 2」です。人数が増えたときの伸び方が二次関数と一次関数で違う点が、この計算問題の狙いどころです。

公開鍵暗号はどちらの鍵で処理し、どちらの鍵で戻すかで用途が変わります。ここを取り違えさせるのが定番の誤答肢です。

実際の通信では、この 2 方式を組み合わせたハイブリッド暗号を使います。本文は速い共通鍵暗号で暗号化し、その共通鍵（セッション鍵）だけを受信者の公開鍵で暗号化して一緒に送る、という組立てです（図 11-6）。TLS も S/MIME もこの構造です。ただし TLS 1.3 では鍵交換に (EC)DHE を用いており、共通鍵を公開鍵でそのまま暗号化する方式ではありません。

ブロック暗号は平文を固定長のブロックに区切って処理します。区切ったブロックをどうつなぐかを決めるのが暗号利用モードです。

暗号の安全性は永続しません。計算機の性能向上や解読手法の進歩で、かつて安全だった方式や鍵長が実用的な時間で破られるようになることを危殆化といいます。DES（鍵長 56 ビット）はすでに危殆化し、AES への移行が済んでいます。国内では CRYPTREC が電子政府における調達で利用可能な暗号技術のリスト（CRYPTREC 暗号リスト）を公開しており、方式選定の根拠になります。暗号の強度は鍵長だけでなく乱数の質にも依存し、予測可能な擬似乱数で鍵や初期化ベクトルを作ると総当たり以前に破られます。

保存データの保護では、ディスク全体を暗号化するストレージ暗号化と、個々の文書を暗号化するファイル暗号化を使い分けます。機器を廃棄する際に、暗号化された媒体の鍵だけを破棄して復号不能にする手法を暗号化消去（CE）といい、物理破壊より短時間で確実に無害化できます。将来の脅威としては、量子計算機が現在の公開鍵暗号を破る可能性が指摘されており、量子計算機でも解けないとされる耐量子計算機暗号への移行と、量子力学の性質で盗聴を検知する量子鍵配送の研究が進んでいます。鍵を安全に共有する方式としては Diffie-Hellman 鍵共有があり、通信路上に鍵そのものを流さずに共通鍵を作れます。

残りの用語は、名前と役割を 1 行で結び付けておけば十分です。

ハッシュ関数・メッセージ認証・デジタル署名

ハッシュ関数は、任意の長さのデータから固定長の値（メッセージダイジェスト、ハッシュ値）を計算する関数です。暗号化と違って元に戻す操作が用意されていません。この「戻せない」性質を逆に利用して、改ざんの検知・パスワードの保存・デジタル署名の 3 つを実現します。試験で定義文が問われる性質は次の 3 つです。

• 一方向性: ハッシュ値から元のデータを求めることが計算量的に困難である
• 第二原像発見困難性: あるデータと同じハッシュ値になる別のデータを見つけることが困難である
• 衝突発見困難性: 同じハッシュ値になるデータの組を見つけることが困難である

代表的な方式は SHA-256 を含む SHA-2 系と SHA-3 です。MD5 と SHA-1 は衝突を現実的な計算量で作れることが示されて危殆化しており、改ざん検知や署名に使ってはいけません。ハッシュ値の長さは入力の長さに関係なく一定で、SHA-256 なら 1 文字のファイルでも 1 G バイトのファイルでも 256 ビットになります。ファイル配布時に公開されたハッシュ値と手元で計算した値を比べる、改ざん検知型の監視で正常時のハッシュ値と比較する、といった使い方はここから来ています。

ハッシュ関数だけでは「そのダイジェストを誰が作ったか」が分かりません。そこで共通鍵を混ぜてハッシュ値を計算し、鍵を持つ者だけが同じ値を再現できるようにしたものがメッセージ認証コード（MAC: Message Authentication Code）で、ハッシュ関数を用いる代表的な構成が HMAC です。MAC は完全性と送信元の真正性を同時に確認できますが、鍵を送信者と受信者が共有しているので受信者側でも同じ MAC を作れます。そのため「送信者が確かに送った」と第三者に対して示す否認防止には使えません。ここを埋めるのがデジタル署名です。

デジタル署名は、本文のダイジェストを送信者の秘密鍵（署名鍵）で変換した値です。受信者は送信者の公開鍵（検証鍵）で署名を戻し、自分で計算したダイジェストと一致するかを確かめます（図 11-7）。本文全体ではなくダイジェストに対して処理するのは、公開鍵暗号の処理が遅く、長い本文をそのまま扱うと実用にならないからです。

署名で分かるのは「本文が途中で変わっていないこと（完全性）」と「秘密鍵の持ち主が作ったこと（真正性・否認防止）」です。本文は暗号化されていないので、機密性は別に確保しなければなりません。3 つの技術の役割分担を整理します。

署名を応用した技術も用語例に挙がっています。文書が「いつ」存在したかを第三者（時刻認証局）が保証するタイムスタンプ（時刻認証）、XML 文書の一部分だけに署名できる XML デジタル署名、配布するソフトウェアに開発元が署名して改ざんとなりすましを防ぐコードサイニングです。コードサイニングは令和 7 年秋の科目 A で証明書の側から出題されています。

PKI ― デジタル証明書と失効確認

公開鍵暗号もデジタル署名も、「その公開鍵が本当に相手のものである」という前提が崩れると成立しません。攻撃者が自分の公開鍵を相手の名前で配れば、中間者攻撃がそのまま通ります。この前提を社会的な仕組みで支えるのが PKI（Public Key Infrastructure: 公開鍵基盤）です。中心にいるのが認証局（CA: Certification Authority）で、申請者の実在を確認したうえで「この公開鍵はこの人のものです」という内容に CA 自身の秘密鍵で署名します。この署名付きのデータがデジタル証明書（公開鍵証明書）で、書式は X.509 が標準です。

1 つの CA が世界中の証明書を直接発行しているわけではありません。最上位のルート CA が中間 CA の証明書に署名し、中間 CA が利用者の証明書に署名する、という連鎖（証明書チェーン）になっています。ルート CA の証明書は通常、自分自身の秘密鍵で署名した自己署名証明書で、これを検証する上位はありません。代わりに OS やブラウザにあらかじめ組み込まれたルート証明書を無条件に信頼する、という約束で連鎖を打ち止めにします。この起点をトラストアンカー（信頼の基点）と呼びます。

証明書は用途で名前が変わります。Web サーバの身元を示すサーバ証明書、利用者の端末や個人を示すクライアント証明書、配布するソフトウェアに開発元が署名するためのコードサイニング証明書です。サーバ証明書はさらに審査の深さで分かれ、ドメインの管理権だけを確認する DV、組織の実在を確認する OV、より厳格な審査で運営組織を確認する EV があります。DV と EV の違いは科目 B（令和 3 年春）で正答率が低かった論点で、「暗号の強度は変わらず、確認される組織の実在性の深さが違う」と押さえます。政府機関の認証基盤である GPKI（政府認証基盤）や、異なる PKI 同士を相互に信頼させるブリッジ認証局（BCA）も用語例に含まれます。

証明書は有効期間内でも無効にしなければならないことがあります。秘密鍵が漏えいした、記載内容が変わった、組織がなくなった、といった場合です。これが失効で、期間が過ぎただけの有効期限切れとは別物です。失効した証明書を検証側が知る手段は 2 つあります（図 11-9）。

これらを実際に使っているのが TLS（Transport Layer Security）です。TLS は 1 つのプロトコルで、サーバ認証・鍵共有・暗号化・完全性の確認をまとめて行います。接続開始時のやり取り（ハンドシェイク）は次の順に進みます。

1. クライアントが、対応できる暗号方式の一覧（暗号スイート）と乱数を送る
2. サーバが、使う暗号方式を 1 つ選んで返し、あわせてサーバ証明書を送る
3. クライアントが証明書を検証する。CA の公開鍵で署名を確かめ、有効期間・失効の有無・接続先ドメイン名との一致を見る
4. 両者で鍵の材料を交換し、同じ共通鍵（セッション鍵）を作る
5. 以降の通信は共通鍵暗号で暗号化し、MAC または認証付き暗号で完全性も守る

③でサーバの身元を確かめてから④で鍵を作るので、中間者攻撃を防げます。逆にいえば、証明書の警告を利用者が無視して先に進むと、この防御は成立しません。TLS 1.3 ではハンドシェイクの往復が短縮され、危殆化した暗号方式が仕様から削除されました。なお、旧称の SSL は既に使われていませんが、実務では「SSL/TLS」と併記されることがあります。

認証と認可 ― 利用者を確かめ、権限を与える

まず 2 つの言葉を分けます。認証は「相手が名乗っているとおりの本人か」を確かめることで、認可は「その相手に何をしてよいと認めるか」を与えることです。認証が済んでも認可の範囲は別に決まります。科目 B では、認証を強化する施策と権限を絞る施策を取り違えた解答が誤答例として挙がるので、この区別が土台になります。

認証の 3 要素とパスワードの保護

認証に使える材料は 3 種類しかありません。この 3 つのうち異なる種類を 2 つ以上組み合わせるのが多要素認証です。パスワードを 2 回入力させるように同じ種類を重ねても、段階が増えるだけの多段階認証であって多要素にはなりません。

知識による認証の中心はパスワードです。サーバ側にパスワードをそのまま保存すると、データベースが漏えいした時点で全員分が使われてしまいます。そこで次の 4 段階で守ります。

運用側の対策が試行回数制限（アカウントロック）です。ただし図 11-2 で見たとおり、同じ ID に何度も試さないリバースブルートフォース攻撃やパスワードリスト攻撃には効きません。効く攻撃と効かない攻撃を対にして覚えます。

ワンタイムパスワードとリスクベース認証

盗聴されても再利用できないようにする発想がワンタイムパスワード（OTP）です。方式は 2 つあります。1 つは時刻同期方式で、トークンとサーバが同じ時刻と共有情報から一定間隔で同じ値を生成します。もう 1 つがチャレンジレスポンス認証で、手順は次のとおりです。

1. 利用者が ID をサーバへ送る
2. サーバが毎回異なる乱数（チャレンジ）を返す
3. 利用者側でチャレンジとパスワード（のハッシュ値）から計算した値（レスポンス）を返す
4. サーバも同じ計算をして、一致すれば本人と判断する

この方式ではパスワードそのものがネットワークを流れません。しかもチャレンジが毎回変わるので、通信を丸ごと記録して再送するリプレイ攻撃も通りません。「盗聴とリプレイの両方に効く」がこの方式の答え方です。

リスクベース認証は、普段と違う場所・端末・時間帯からのアクセスを検知したときだけ追加の認証を求める方式です。通常時の利便性を落とさずに、なりすましの成功率を下げます。クレジットカードの本人認証である EMV 3-D セキュア（3D セキュア 2.0）も、取引の内容から危険度を判定して必要なときだけ追加認証を求める仕組みで、同じ考え方です。人ではなく機械による自動入力をふるい落とす仕掛けが CAPTCHA で、こちらは本人確認ではなく「人間かどうか」の判定である点に注意します。

所持による認証では、耐タンパ性を持つ IC カードと、それを本人が使っていることを示す PIN コードを組み合わせるのが基本形です。パスワードそのものをなくす方向の技術が FIDO で、端末側で生体認証を行う FIDO UAF、既存のパスワードに鍵を足す FIDO U2F、そして FIDO2 と WebAuthn の組合せがあります。パスワードレス認証（パスキー）では、秘密鍵を利用者の端末内に置き、サーバへは公開鍵だけを登録します。サーバ側にパスワードが存在しないので、漏えいしても使い回し被害が起きません。

生体認証と 2 つの誤り率

生体認証は、指紋・静脈・虹彩・顔・網膜といった身体的特徴と、声紋・署名（筆跡や筆圧）といった行動的特徴に分かれます。指紋認証で隆線の分岐点や端点の位置関係を特徴量として使う方式をマニューシャ方式といいます。生体認証は「合っている／いない」を割り切れないため、必ず 2 種類の誤りが残ります。

• 本人拒否率（FRR: False Rejection Rate）: 本人なのに拒否してしまう割合。高いと利用者が使えず苦情になる
• 他人受入率（FAR: False Acceptance Rate）: 他人なのに受け入れてしまう割合。高いとなりすましを許す

この 2 つは判定のしきい値を通じて一方を下げるともう一方が上がる関係にあります（図 11-10）。どちらを優先するかは用途で決まり、入退室管理のように安全性を優先する場面ではしきい値を厳しく（FAR を下げる）、大量の利用者をさばく場面では利便性側に寄せます。

シングルサインオンと認可の仕組み

利用するサービスが増えるほど、ID とパスワードの管理は破綻します。1 回の認証で複数のサービスを使えるようにする仕組みがシングルサインオン（SSO）で、認証を専門に担うサーバを IdP（Identity Provider）、それをクラウドサービスとして提供する形態を IDaaS と呼びます。関連する技術の役割は次のとおりです。

認証の先にある認可は、アクセス制御として実装します。誰が権限を決めるかで 3 つに分かれます。

どの方式でも指針は同じで、業務に必要な最小限の権限だけを与える最小権限の原則（need-to-know の原則）です。退職者のアカウントを残さない、共用アカウントを作らないといった運用が、責任追跡性の確保にもつながります。

ひっかけポイント

理解度チェック（科目 A 形式）

まとめ

この章の論点は、対比と主体で整理すると科目 A の選択肢がそのまま裁けます。

ここまでが攻撃側の手口と、暗号・認証という守り方の部品です。第 12 章では、これらの部品を組織としてどう運用するか（ISMS とリスクマネジメント）と、ネットワーク上のどこに何を置くか（FW・IDS/IPS・WAF・VPN・ゼロトラスト）を扱い、セキュリティ分野の残り半分を埋めます。