令和4年度春期 情報処理安全確保支援士試験（午後I 問3）解説
テーマ: スマホ決済サービスのセキュリティ・オンライン本人確認（eKYC・公的個人認証）・当人認証
目次・設問ジャンプ
設問1 〔本人確認の構成要素〕について
設問1. 空欄 a, b について
問題文からの引用
「オンラインサービスにおける身元確認手法の整理に関する検討報告書」では、本人確認の構成要素は、身元確認と当人認証であると整理されている。身元確認は、“登録する氏名・住所・生年月日等が正しいことを証明/確認すること”と定義されている。また、当人認証は、“認証の3要素のいずれかの照合で、その人が作業していることを示すこと”と定義されている。したがって、Qサービスにおいては、表1の[ a ]時に身元確認を、表1の[ b ]時に当人認証を実施することになる。
着眼点・注目ポイント
- 身元確認: 実体としての人物とアカウントの結び付けを行うため、サービス利用開始時であるアカウント作成時に行います。
- 当人認証: アカウントの所有者本人が操作しているかを確認するため、サービス利用時のログイン時に行います。
-
正解:
-
a: イ（アカウント作成） -
b: ア（Qサービスへのログイン）
-
選択肢の解説
-
ア (Qサービスへのログイン):
bに該当。利用者が本人であることを継続的に確かめる「当人認証」のタイミングです。 -
イ (アカウント作成):
aに該当。利用者の属性（氏名、生年月日等）を確かめて登録する「身元確認」のタイミングです。
設問2 〔身元確認〕について
設問2. (1) 下線①について
問題文からの引用
「[①他人の銀行口座とのひも付けを行うリスク]を低減するためには、L社が表1の[ a ]時に身元確認を実施する必要があると指摘した。」
（表1参照：「(1)利用者はリストから銀行を選択…アカウント情報の氏名が提供される。(2)口座番号、キャッシュカードの数字4桁の暗証番号を入力する。(3)(1)の情報と(2)の情報が共に正しければ認証に成功」）
着眼点・注目ポイント
銀行側の認証条件は「氏名」「口座番号」「4桁の暗証番号」の整合性です。攻撃者が「他人の氏名でQサービスのアカウントを作成できる（身元確認なし）」状態において、どのようにして他人の口座と連携させるかを考えます。
-
正解（以下のいずれか2つ・各30字以内）:
- ① 漏えいしている口座番号と暗証番号を悪用する方法
- ② 口座番号と暗証番号をだまして聞き出し、悪用する方法
-
解説:
攻撃者はフィッシング詐欺などで事前に入手（またはだまし取っ）た被害者の「口座番号」と「暗証番号」、およびその被害者の「氏名」を使ってQサービスでアカウントを作成することで、被害者の銀行口座を勝手にひも付けることができてしまいます。
設問2. (2) 空欄 c について
問題文からの引用
「表2 個人顧客向けの本人確認方法
項番1：次の2点を用いた方法 ・[ c ]付き本人確認書類の画像 ・容貌の画像
項番2：次の2点を用いた方法 ・[ c ]付き本人確認書類のICチップ情報 ・容貌の画像」
着眼点・注目ポイント
オンラインでの本人確認（eKYC）において、本人の顔写真（容貌）と照合するために提示が必要な書類の条件を答えます。
- 正解: 写真
- 解説: 犯収法（犯罪による収益の移転防止に関する法律）に基づくeKYCでは、書類のなりすましを防ぐため、運転免許証やマイナンバーカードのように「顔写真」が貼り付けられた本人確認書類の使用が定められています。
設問2. (3) 空欄 d, e について
問題文からの引用
「入力されたパスワードが正しい場合、マイナンバーカード内の[ d ]でQサービスの申込用のデータにデジタル署名し、当該デジタル署名,当該データ本体,署名用電子証明書をQサービスに送付する。Qサービス側で、デジタル署名が利用者本人のものであり、改ざんされていないことをQサービスの利用者の[ e ]を用いて確認した後…」
着眼点・注目ポイント
公開鍵暗号基盤（PKI）におけるデジタル署名の仕組みを当てはめます。
- 署名の作成：送信者（カード側）の秘密の鍵
- 署名の検証：送信者の検証用（公開）の鍵
-
正解:
-
d: ウ（秘密鍵） -
e: イ（公開鍵）
-
選択肢の解説
- ア (共通鍵): 不適切。暗号化と復号で同じ鍵を使う方式。デジタル署名には使用されません。
-
イ (公開鍵):
eの正解。署名用電子証明書に含まれており、Qサービス側がデジタル署名を検証（復号・照合）するために使用します。 -
ウ (秘密鍵):
dの正解。マイナンバーカードのICチップ内に安全に格納されており、カード内部でデジタル署名を生成するために使用します。
設問2. (4) 空欄 f について
問題文からの引用
「地方公共団体情報システム機構に[ f ]を確認する。」
着眼点・注目ポイント
公的個人認証サービス（JPKI）において、送信された電子証明書が信頼できるものであるかを認証局（JPSIM/地方公共団体情報システム機構）に問い合わせて確認するべき事項を挙げます（15字以内）。
-
正解（以下のいずれか）:
- 署名用電子証明書の有効性
- 署名用電子証明書の失効の有無
- 解説: 電子証明書が有効期限内であるか、またはカードの紛失や失効申請などによって失効していないか（CRLやOCSP等で確認するプロセス）を確認する必要があります。
設问2. (5) 空欄 g について
問題文からの引用
「Qアプリが毎回ランダムな数字を表示し、利用者が[ g ]して、直ちに送信することによって、L社では提出された画像が事前に準備されたものではないことを確認する」
着眼点・注目ポイント
リアルタイムでその場にいる本人が撮影した画像であることを証明する手法（ライブネス判定・写真等の偽造防止策）について記述します（40字以内）。
- 正解: そのランダムな数字を紙に書き、その紙と一緒に容貌や本人確認書類を撮影
- 解説: 画面に提示されたランダムな指示（数字）を紙に書き込み、それと本人の顔・証明書を同時に撮影させることで、事前に用意した静止画や動画の不正利用（なりすまし）を防止します。
設問3 〔当人認証〕について
設問3. (1) 下線②について
問題文からの引用
「しかし、②Qサービスにログインした状態で、スマートフォンの画面ロックを設定していないと、Qサービスが不正利用されることがある。」
着眼点・注目ポイント
画面ロックがかかっていないスマートフォンがどのような状態・状況になったときに、第三者によってアプリが不正利用されるかを簡潔に述べます（20字以内）。
- 正解: スマートフォンを盗まれた場合 （または「スマートフォンを紛失・放置した場合」など）
- 解説: 端末自体が他人の手に渡った際、端末の画面ロック（PINや生体認証）がかかっていないと、アプリを開くだけでログイン済みのQサービスがそのまま利用できてしまいます。
設問3. (2) 下線③について
問題文からの引用
「そこで、Qサービスにログインした状態を保持することにした上で、③Qアプリに不正利用を防ぐための機能を追加することにした。」
着眼点・注目ポイント
端末の画面ロックが解除されていても、アプリを起動して決済や送金などの重要な処理を行う際になりすましを防ぐためのQアプリ側の機能を提案します（30字以内）。
- 正解: Qアプリの起動時に、PINコードで利用者を認証する機能 （または「アプリ起動時に生体認証やパスコードを求める機能」）
- 解説: ログイン状態を保持して利便性を高める反面、端末の紛失・盗難時に不正利用されないよう、アプリ起動時や決済実行時にパスコード（PIN）や生体認証を再要求する仕組みを組み込みます。