[平成２８年度秋] 午後1 問1 解説

[問題文・解答]

平成２８年度１０月に実施された情報セキュリティスペシャリスト試験の午後１試験の問題・解答はIPA公式ページからダウンロード出来ます。（以下リンク）
[H28秋 午後1 問題文]　　　[H28秋 午後1 解答]

[問題概要]

題材は、組込み機器を利用したシステムのセキュリティ対策についてです。
工場内の機械のセンサ情報をLTEルータ経由でクラウド上の監視サーバに送信する工場遠隔監視システムを構築した。試験環境で試験を行ったところ、LTEルータに侵入された形跡を発見し、セキュリティ対策を検討するという内容です。
知らないと答えるのが困難な問題がいくつかあり、その他の設問もある程度の知識と読解力が要求される問題です。難易度はやや高めです。

[設問1]

a) IPsecにはトランスポートモードとトンネルモードの2つの通信モードがあります。

トランスポートモード

ホスト間でIPsec通信を行う際に使用する。パケットの元のIPヘッダを変更せずにそれに基づいてパケットを転送する。

トンネルモード

ルータ間でIPsec通信を行う際に使用する。パケットの元のIPヘッダを暗号化して、新たに付加したIPヘッダに基づいてパケットを転送する。

これは知らないと解答が厳しい問題です。

P.3上段に「ルータ間の通信を全て暗号化する」とあることからトンネルモードが正解です。

b) IKEv1には2つの実行モードがあります。

メインモード

接続先のIPアドレスも認証情報として利用する。双方のIPアドレスが固定である必要があり、アグレッシブモードに比べてセキュリティ強度が高い。

アグレッシブモード

接続先のIPアドレスを認証情報に利用しない。動的IPを利用する場合でも使用可能だが、メインモードに比べるとセキュリティ強度は低い。

これも知らないと厳しい問題です。
P.3上段「片側のルータのIPアドレスが動的に変わる環境においては」とあることから、アグレッシブモードが適切です。

[答] a) エ　b) ア

[設問2]

(1)

表1の注記「x1.x2.x3.x4、y1.y2.y3.y4及びz1.z2.z3.z4は、グローバルIPアドレス
である」とあり、表1中でz1.z2.z3.z4はローカルアドレス、x1.x2.x3.x4とy1.y2.y3.y4は外部アドレスとなっていることから不正アクセスを行っている外部IPアドレスはx1.x2.x3.x4とy1.y2.y3.y4のいずれかとなります。
SSHサービスのポート番号は22なので表1においてローカルアドレスz1.z2.z3.z4のポート22宛に通信を行っているx1.x2.x3.x4がcに当てはまります。
また、SMTPのポート番号は25なので表1においてローカルアドレスz1.z2.z3.z4から自身のポート25宛に通信を行っているy1.y2.y3.y4がdに当てはまります。

[答] c) x1.x2.x3.x4　d) y1.y2.y3.y4

(2)

SSHにはパスワード認証と公開鍵認証があります。前者はクライアント側で特別な設定は不要ですが、パスワードを傍受される可能性があり、またパスワードが破られれば効果がありません。一方、後者は事前にクライアント側で鍵ペアを作成してサーバ側に届ける必要があるため設定が煩雑ですが、セキュリティ上はパスワード認証よりも安全です。
P.3下段「LTEルータのログには、SSHサービスがパスワードの辞書攻撃を受けた痕跡が残っていた」とあることから、今回は辞書攻撃によりパスワードが破られ、侵入されたと思われます。このような攻撃を防ぐために現在のパスワード認証を解除し、公開鍵認証を使用する設定に切り替える必要があります。

[答] パスワード認証を無効化し、公開鍵認証を使用する。

[設問3]

(1)

TCP Wrapperとは、UNIX・Linux系OSで動作するプログラムが外部と行う通信のアクセス制御や通信履歴の保存を行うソフトウェアです。
P.4中段のS氏の指摘で「LTEルータでは、監視端末を利用した場合にだけ、SSHサービスにアクセスできる仕様にすべきです」とあります。これを実現するためにはTCP Wrapperのアクセス制御を用いて、SSHの送信元IPアドレスを監視端末のIPアドレスに限定する設定とすれば良いです。
[答] 送信元IPアドレスを監視端末のIPアドレスに限定

(2)

C社のシステムで使用しているものと同一のSSHホスト鍵を使用する組込み機器を利用されれば、ルータと端末の間に割り込んで通信を盗聴したり、改ざんする中間者攻撃を行われる可能性があります。
[答] 中間者攻撃による通信内容の盗聴

(3)

ディジタル署名の仕組みを理解していれば解答は難しくない問題です。
ディジタル署名では、署名者が鍵ペア（公開鍵と秘密鍵）を作成し、事前に公開鍵を配布しておきます。そして、データ送信時にデータから求められるハッシュ値を署名として秘密鍵で暗号化したものを付与して送信します。受信者は受け取ったデータのハッシュ値と署名を公開鍵で復号化した内容を比較して改ざんが無いかどうかをチェック出来ます。
従って、イメージファイル作成時には秘密鍵を用いてディジタル署名を付与し、LTEルータ側で更新する時には公開鍵を用いてディジタル署名の検証を行います。
[答] 作成時) 秘密鍵を使用してイメージファイルにディジタル署名を付与する。

　　更新時) 公開鍵を使用してイメージファイルのディジタル署名を検証する。

(4)

この設問はやや解答が思いつきづらい問題です。
イメージファイル復号の為の鍵は、暗号化されたイメージファイルを復号してファームウェア適用に使用するLTEルータにあるため、そもそもLTEルータに侵入されて復号の為の鍵を見つけ出されるというリスクが残ります。

[答] LTEルータにログインしてファイルシステムの中から見つける。

上記の解説は問題と解答を元に自分なりの考え方を記述しており、間違っている部分もあるかと思いますので、ご了承願います。また、誤りについては正しい考え方をご指摘・ご教授頂けると助かります。