■問2（難易度：易）
テーマ：社内のレガシー認証システムを現代のセキュリティ水準にするには？
【問われていること】
・暗号アルゴリズムの安全性
NISTより、「セキュリティ強度」=「解読に必要な計算量を指標にして、同程度の耐性」（私の解釈）
「Xビットの安全性」とは、解読に2のX乗の試行回数が必要ということ。Xが大きいほど安全。
・暗号化する鍵の種類とアルゴリズム
アルゴリズムは最新のものだけ覚えておけば良いと思う、、
共通鍵 ：AES
公開鍵 ：RSA
ハッシュ関数：SHA
・レガシー認証（ID、PW入力の知識情報）からセキュリティ強化
従来：貸与PCから、社内システムにIDとPW入力してサインイン
問題：IDとPW、つまり知識情報がばれれば、容易に不正アクセス可能
課題：認証が１要素のみ。
対策：多要素認証にする
本問題では多要素認証として、貸与PCにディジタル証明書を入れている。
知識情報のみ→知識情報＋所持という認証方式に変化している。
仮にIDとPWが流出しても、本人が所持している貸与PCからしかサインインできない。
※さらに認証強化するなら、貸与PCのカメラで顔認証にするとかがある。
知識（ID+PW）+所持（貸与PCを持つ）+生体（本人の顔）の３要素になる。
・ディジタル証明書でなぜ本人確認できるか？
詳細は割愛。 ググればいっぱい記事でてきます。
①本人（貸与PC）しか持っていない秘密鍵で送るものを暗号化
②平文と暗号化したものを相手に送る
③相手は公開鍵で解号
④平文と解号したものが合致すれば、改ざんなし、かつ、本人と判明する。
・どうやって運用していくか？ ←実務の問題
ディジタル証明書を申請して、配布して、終了というわけにはいかない。
実際の世界では貸与PCを紛失することもあるし、従業員が不正をしようとすることもある。
それをどうやって防ぐのか？が大事。
問題：貸与PCが紛失した
対策：端末管理者（例えばチームリーダ）がシステム管理者に申請して、ディジタル証明書を失効させる。
失効させる権限を紛失した人ではなく、端末管理者にするのが大事。（無くした人が申請できることは稀だし）
問題：従業員が私用端末にディジタル証明書を入れる
対策：発行した証明書が貸与PCに入っているかを確認する。
ダサいやり方はエクセルの管理簿で逐一、管理する。
イケてるやり方はMDMとかでシステム→貸与PCにプッシュする。
上記問題は貸与PC←システムというプル形式がよくない。
問題：利用停止したディジタル証明書を更新して新しいものを発行してしまう人的ミス。
対策：CRL(:Certificate Revocation List)、つまり、失効リストにあれば更新不可能にする。
OSCP(:Online Status Certificate Protocol)で常に失効リストを確認しておくのが常套手段。