セキュリティスペシャリスト
問題はIPAからご確認ください。
https://www.ipa.go.jp/shiken/mondai-kaiotu/2021r03.html#aki_sc
答えはIPAの回答例となります。
設問１
（１）
CDNを使うとクライアントと動画配信サーバ（オリジンサーバ）の間にキャッシュサーバが出来て、クライアントはNW的距離が近いキャッシュサーバに動画を取得しに行きます。
答え ａ：キャッシュ
（２）
CDNだとDDos攻撃にメリットがあります。
DDoS（Distributed Denial of Service）攻撃は、Webサーバーなどに対し、複数のコンピューターから大量のパケットを送りつけるて、正常なサービス提供をできないようにする攻撃です。
CDNではDDosで送られてきたデータをキャッシュサーバーが受けるので、他のキャッシュサーバやオリジンサーバーに影響を与える可能性は低いです。
答え ｂ：DDos
（３）
HTTPのHostヘッダにFQDNが含まれています
こちら例ではHTTPサイトで阿部寛氏のサイトで確認してます。
答え ｃ：Host
（４）
Y-CDN-U-FQDNと同じCDNサーバを使っていた場合、DNSで名前解決をすると返答されるIPアドレスはすべてCDNのIPアドレスとなります。
下の例ではY-WEBとX-WEBがCDNで同じアドレスを持っていますので、X-CDNの名前解決もY-CDNの名前解決も帰ってくるIPアドレスはCDN-Uの物になります。
なので、答えとなる範囲は
答え：Y-CDN-U-FQDNを名前解決したIPアドレスと同じIPアドレスをもつWebサイト
（５）
TLS通信のデータの中のTLSの接続先サーバ名が格納されています。（下記の様に）
その値とHTTP通信で指定されるHostヘッダを比べれば検証できます。
TLS通信はHTTPを暗号化するので、問題文にある復号及び高機能な通信解析ができることが必要になります。
答え ｄ：TLSの接続先サーバ名
設問２
（１）
上記の流れを見るとSTは認証サーバから発行されてからは認証サーバを経由して使用されることはありません。
なので偽造されたSTで接続したいGrWサーバと通信する際にSTは認証サーバを経由せずに使用されますので
答え：STは認証サーバに送られないから
（２）
図７の注2)でＳＴはサーバ管理者アカウントパスワードのハッシュ値から作られているとあるので、STを解析できればパスワードが盗み出せそうです。
総当たり攻撃はサーバに直接ログインを試みているわけではなく、盗んだSTに対してローカル環境にＳＴを保存してＳＴを解析しようとしているため、失敗回数などのアカウントロックなどは効果がありません。
答え：総当たり攻撃はオフラインで行われ、ログインに失敗しないから
設問３
（１）
SAML RequestはURLの末尾にクエリ文字列を付けてリクエストを渡しますので、
答え ｅ：ウ
（２）
※ｆは（１）を参照
処理３でユーザ認証が成功したらデジタル署名を含めたSAML Responseを生成してます。
その生成されたレスポンスのデジタル署名を検証してIDaasが作成した物かを検証します。
答え ｆ：ア
（３）
※ｇは（１）を参照
SAMLResponseの署名がIDaasの物であると確認できればSAMLアサーションが偽装されていないことが確認できます。
答え ｇ：偽装
（４）
ｈ：ＵＲＬが必要になるのは処理１でSAML認証をさせるためのリダイレクト先のURLとなります。
ｉ・ｊ：デジタル署名が必要なのは処理３で作成して、処理４で検証します
答え ｈ：１
ｉ：３
ｊ：４
設問４
（１）
利用手順にて（１）で主催者はSサービスにアクセスなので、図９でサービス要求している先はＫなのでSサービスになります。図９の（３）で認証要求を受けているので、ｌはIDaaS-Gになり、図９の（９）で利用者情報の問い合わせを受けているのでｍはGrW-Gとなります。
答え ｋ：ウ
ｌ：イ
ｍ：ア
（２）
ｎの部分は（１）の図９を参照
（１）の表３を見るとSサービスからGrW-Gにスケジュールを取得しに行ってますので
ｋ＝Sサービス ・ ｌ＝IDaaS-G ・ ｍ＝GrW-G とすると
答え ｎ：エ
（３）
図９は（１）を図９を参照
（２）でSサービスから利用者に送るリダイレクトに、Stateパラメータを付与し、（６）で認証コードに付与されているstateパラメータを一致しているか確認すればOKです。
答え ｏ：（２）
ｐ：（６）
（４）
スマホでランダムなチャレンジコードを生成して要求に追加して攻撃者から認証コードを守る仕組みをPKCEと言います。
認可コード横取り攻撃への対策を目的として作られていて、ピクシーと呼ばれています
答え ｑ：ウ
設問５
（１）
〔企画チームからの要望〕で出てくるのは。T社投稿サイトの投稿サーバとX社動画サーバとT社投稿サイトの認証サーバです。
T社投稿サイトのユーザはT社投稿サイトにログインすれば、X動画サーバにもログインできるようですので、X動画サーバにサービス要求したらリダイレクトしてT社投稿サイトの認証サーバに認証要求を投げますので、
ｒ＝X動画サーバとなり、ｓ＝T社投稿サイトの認証サーバとなります。
また、Ｘ動画サーバに動画を投稿すると”動画の概要”がT社投稿サイトに自動で投稿されるあるので、ｒからｔへ「APIを使った”動画の概要”の投稿」とあるので、ｒ＝X動画サーバとなり、ｔ＝T社投稿サイトの投稿サーバとなります。
答え ｒ：オ
ｓ：エ
ｔ：ウ
（２）
T社投稿サイトの認証サーバの秘密鍵を使用して作成しますとなっているので、
図10の（７）でトークンを要求して、認証サーバでトークンを作成して（８）で応答として送られています。
答え ｕ：（8）
（３）
Base64urlは64種類の英数字を用いた形式であるBase64エンコード方式にURLでも変換を行うエンコード方式
答え ｖ：イ
（４）
nonceとは「一度だけ使われる数」という意味です。
ユーザからサービス要求が来たらX動画サーバでnonce値を作成してユーザにリダイレクトしてユーザは（３）認証要求の時にnonce値を認証サーバに渡します。次に（8）トークン応答時にX動画サーバは受けとったトークンからnonce値を取得して、自身の持っているnonce値と合っているか検証します。
答え ｗ：認証要求
ｘ：ＩＤトークン
コメント