アクセス制御方式とは？

アクセス制御方式の意味

誰がどの資源に何をできるかを決める方式の分類。DAC（任意アクセス制御：所有者が権限を決める）、MAC（強制アクセス制御：組織のポリシーでラベルにより一律に制御し、所有者は変更できない）、RBAC（役割に権限を紐づける）、ABAC（属性の組合せと条件で判断する）がある。

アクセス制御方式の具体例

軍・政府系のマルチレベルセキュリティではMACを用い、機密ラベルより低い区分の利用者は読めない（Bell-LaPadulaモデル）。

アクセス制御方式は試験でどう引っ掛けられる？

MACはMessage Authentication Codeの略と紛らわしい。文脈で判断する。

アクセス制御方式と関連する用語

• 最小権限の原則
• 職務分離

アクセス制御方式が出た過去問

• 無線LANで用いられるSSIDの説明として，適切なものはどれか。

  正解：最長32オクテットのネットワーク識別子であり，接続するアクセスポイントの選択に用いられる。

  要点：SSIDは接続先を選ぶための無線LAN識別名

  SSIDは無線LANのネットワークを識別する名前で、最長32オクテットの文字列です。端末は受信したSSIDを見て、どのアクセスポイントのネットワークに接続するかを選びます。機器個体を識別するMACアドレスとは役割が異なります。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問18（IPA）

• IEEE 802.11a/b/g/nで採用されているアクセス制御方式はどれか。

  正解：CSMA/CA

  要点：無線LANは衝突回避型のCSMA/CAを用いる

  無線LANでは、電波の性質上、送信中の衝突を検出できません。そこで送信前に他局の送信有無を確認し、待ち時間を取って衝突をあらかじめ避けるCSMA/CAが用いられます。CSMA/CDは有線イーサネットの方式です。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問20（IPA）

• インターネットバンキングサービスを提供するWebサイトを利用する際に，トランザクション署名の機能をもつハードウェアトークンを利用する。次の処理を行うとき，(4)…

  正解：振込先口座番号と振込金額が改ざんされていないことを確認できる。

  要点：MACの照合は取引内容の改ざん検知に使える

  MAC（メッセージ認証符号）は、共有する鍵とメッセージからつくる検証用の値で、受信側が同じ手順で再計算して一致を確認することでメッセージの完全性と送信者の正当性を検証できる。ここではトークンが振込先口座番号と振込金額からMACを生成しているので、送信途中でこれらの値が書き換えられればMACが一致せず、改ざんを検知できる。マルウェアが通信内容を書き換える中間者型の不正送金対策として有効である。

  出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問8（IPA）

• イーサネットにおいて、ルータで接続された二つのセグメント間でのコリジョンの伝搬と、宛先MACアドレスの全てのビットが1であるブロードキャストフレームの中継につい…

  正解：コリジョンの伝搬：伝搬しない、ブロードキャストフレームの中継：中継しない

  要点：ルータはコリジョンもブロードキャストも越えさせない

  コリジョンは同一のコリジョンドメイン内で起こる現象で、リピータハブは伝えるがブリッジやスイッチ、ルータはフレームを蓄積して転送するため伝搬しない。またルータはブロードキャストドメインの境界となり、宛先MACが全ビット1のブロードキャストフレームを他のセグメントへは中継しない。したがってどちらも「伝搬・中継しない」となる。

  出典：令和3年度 秋期 情報処理安全確保支援士試験 am2 問19（IPA）

• 送信者から受信者にメッセージ認証符号(MAC:Message Authentication Code)を付与したメッセージを送り,さらに受信者が第三者に転送した…

  正解：MACは,送信者がメッセージと共通鍵を用いて生成する。MACを用いると,受信者がメッセージの完全性を確認できる。

  要点：MACは共通鍵で完全性を確かめるが第三者への証明力はない

  MACは、メッセージと送受信者だけが共有する共通鍵から計算される値で、受け取った側が同じ鍵で再計算して一致を確かめることで改ざんの有無を判定できる。鍵を知る者なら誰でも同じ値を作れるため、鍵を持たない第三者に対して「誰が作ったか」を証明する力はない。送信者を特定し否認を防ぐ用途にはディジタル署名が必要である。

  出典：令和4年度 秋期 情報処理安全確保支援士試験 am2 問1（IPA）