真正性とは？

真正性の意味

ある情報や、それを扱う利用者・組織・情報そのものが、なりすましなどではなく確かに主張している本人・本物であることを確保する特性。JIS Q 27000などで定義される情報セキュリティの要素の一つで、機密性・完全性・可用性のCIAに加えて重視される拡張要素である。デジタル署名や認証局によるディジタル証明書、多要素認証などは、いずれもこの真正性を確保するための代表的な技術・仕組みである。

真正性の具体例

電子契約においてデジタル署名を用いることで、その契約書が確かに本人によって作成・承認されたものであることを証明でき、真正性が確保される。

真正性は試験でどう引っ掛けられる？

「完全性」（データが改ざんされていないこと）と「真正性」（それが本人・本物によるものであること）は近い概念だが視点が異なり、混同しないよう注意が必要である。

真正性と関連する用語

• デジタル署名
• 責任追跡性
• 否認防止
• 情報セキュリティの3要素（CIA）

真正性が出た過去問

• Webサイトにおいて、全てのWebページをTLSで保護するよう設定する常時SSL/TLSのセキュリティ上の効果はどれか。

  正解：WebブラウザとWebサイトとの間における中間者攻撃による通信データの漏えい及び改ざんを防止し、サーバ証明書によって偽りのWebサイトの見分けを容易にする。

  要点：常時TLSは中間者攻撃を防ぎ、証明書で真正性を示す

  常時SSL/TLSは、ログイン画面や決済画面だけでなくサイト全体をTLSで保護する運用である。通信全体が暗号化・完全性保護されるため、中間者攻撃による盗聴や改ざん、平文ページへのセッションIDの露出やコンテンツ書換えを防げる。加えて、サーバ証明書によって接続先が正当なサイトかどうかを利用者が確認しやすくなる。

  出典：令和1年度 秋期 情報処理安全確保支援士試験 am2 問14（IPA）

• インターネットバンキングの利用時に被害をもたらすMITB (Man-in-the-Browser) 攻撃に有効なインターネットバンクでの対策はどれか。

  正解：インターネットバンキングでの送金時に利用者が入力した情報と、金融機関が受信した情報とに差異がないことを検証できるよう、トランザクション署名を利用する。

  要点：MITB対策は取引内容自体を別経路で検証するトランザクション署名

  MITB攻撃は、利用者のブラウザに寄生したマルウェアが、正規のログインとセッションの内部で送信内容を書き換える。通信路の暗号化やサイトの真正性確認、ログイン時の認証強化はいずれも改ざんが行われる前段の話なので防げない。そこで、利用者が入力した振込先や金額をブラウザ外の独立した機器で確認し、その値から生成した署名（トランザクション署名）を銀行側が検証する方式が有効となる。

  出典：令和4年度 春期 情報処理安全確保支援士試験 am2 問11（IPA）

• DNSに対するカミンスキー攻撃(Kaminsky's attack)への対策はどれか。

  正解：問合せ時の送信元ポート番号をランダム化することによって,DNSキャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。

  要点：カミンスキー攻撃対策は問合せ元ポートのランダム化で推測を困難にすること

  カミンスキー攻撃は、存在しないサブドメインへの問合せを大量に起こさせ、権威DNSサーバの応答より先に偽装応答を送り込んでキャッシュを汚染する攻撃である。偽装応答を成立させるにはトランザクションIDと問合せ元ポート番号を当てる必要があるため、送信元ポート番号をランダム化(ソースポートランダマイゼーション)して当てにくくするウが対策となる。根本的な対策としてはDNSSECによる応答の真正性検証がある。

  出典：令和5年度 春期 情報処理安全確保支援士試験 am2 問5（IPA）