IPA SC(情報処理安全確保支援士試験)勉強(1)

目的

過去2回落ちているSC。また申し込んでしまったが勉強とにかく面白くない。ので勉強をしている記事を書くことで何とか向き合おうとするための勉強用ノート。

とりあえず家にあったこれに沿ってやっていく。なお家にあったのは2021年版。2024年版を買っていない辺りにやる気のなさが表れている。

勉強開始

認証とアクセスコントロール

最初は認証の話。何回聞いても雰囲気でしか覚えられない・・・。

1. アクセスコントロールの種類

   種類	説明
   任意アクセス制御	DAC(Discretionary Access Control) リソースオーナーがそれぞれ自分で制御
   強制アクセス制御	MAC(Mandatory Access Control) 管理者による一括制御
   ロールベースアクセス制御	RBAC(Roll-Based Access Controle) AWSのIAM Roleみたいなやつ

   Discretionary とか Mandatory とか知らない単語やめてほしい。

2. 最小権限の原則
   これは普段仕事していると普通の考え方なので分かる

3. パスワードの暗号化
   見たことあるよく分からない単語を改めて調べた。

   • TELNETとSSHはどっちもリモート接続プロトコルの事で、SSHだと暗号化した通信ができる。
   • FTPはファイル転送プロトコル。SSHを利用して暗号化できる方はSFTPという。SSL/TLSを利用して暗号化するFTPSというのもある。
   • MD5はハッシュ関数。脆弱性があるので使われなくなっている

4. チャレンジレスポンス方式

   • パスワードを直接通信に流さない事でセキュリティ向上
   • チャレンジは毎回変わるので盗まれても使い回せない

5. 無線LAN
   IEEE802.1X認証という認証の規格がある。認証を突破しないとLANに接続できなくなる。
   オーセンティケータと呼ばれる認証結果を通信に反映させる機器とサプリカントと呼ばれる認証クライアントと認証サーバの3つから成る。

   • EAPOL(Extensible Authentication Protocol over LAN)
     EAPのメッセージを送信するための仕組み。EAPはどの認証方式を用いるかを指定するプロトコルである。
     • EAP-MD5
       ハッシュ関数にMD5を採用したチャレンジレスポンス方式の認証。前述の通りMD5に脆弱性があるので危険
     • PEAP
       認証サーバをサーバ証明書で担保＆ユーザIDパスワードの通信をSSL/TLSによって確保
     • EAP-TLS
       認証サーバをサーバ証明書で担保＆クライアントをクライアント証明書で認証。通信にはTLSを使用
     • EAP-TTLS
       方式としてはPEAPと同じ。なんか内部のプロトコルがちょっと違うらしい。EAP-TTLSっていうのにEAPじゃないんだ？？
   • RADIUS(Remote Authentication Dial In User Service)
     Redisとは違う。
     認証プロトコル。図でRADIUSって書いてるのはRADIUS用パケットくらいの意味か

6. シングルサインオン

   • SAML(Security Assertion Markup Language)
     XMLで記載する認証情報の標準規格。
   • IDフェデレーション

勉強終了

つかれた。SSOとか具体的な認証をアプリケーションに組み込んでみないとイメージしづらい。

次回

シングルサインオンの続き