【過去問解説】情報処理安全確保支援士 令和６年度春季【午後 問４】

2024年4月21日実施の情報処理安全確保支援士解答速報

毎年のことながら７～８割の正解率かと思います。間違いや不明点ございましたらコメントください。

問４ Webアプリケーションプログラム

設問1 [データ連携機能のセキュリティレビュー]について答えよ。

(1) 本文中のaに入れる適切な字句を,解答群の中から選び,記号で答えよ。

解答

ア

解説

operation権限グループに所属しているアカウントはバッチサーバにアクセスできます。また、バッチサーバに保存されているCSVはパーミッションが660なのでbatchappuserと同じグルーブに属している必要があります。

上記を満たすと注文情報CSVに含まれる重要情報が参照できます。

(2) 本文中のbに入れる適切な所属グループを, 表3中から選び答えよ。

解答

personal

解説

バッチサーバと本番APサーバへのアクセス権限が必要で、batchappuserと異なる権限グループにする必要があるため。

(3) 本文中のcに入れる適切なプログラムを表4中から選び、No列の番号で答えよ。

解答

4

解説

CSVファイルの送信元で暗号化し、受け取り側で復号します。

暗号化するべきは重要情報が含まれている注文情報が対象になります。

設問2 [ユーザー登録機能のセキュリティレビュー]について答えよ。

(1) 本文中のdに入れる適切な行番号を、図3中から選び,答えよ。

解答

5

解説

(2) 本文中のeに入れる適切な字句を答えよ。

解答

NoSuchAlgolithmException

解説

(3) 本文中の下線1について,システム運用担当者とシステム開発者が,アクセスが禁止されているのにアクセスできてしまう情報は何か。 図2中のユーザマスターテーブルの列名で, それぞれ全て答えよ。 また, その情報が出力される場所を, 解答群の中から選び, それぞれ記号で答えよ。

解答

システム運用担当者	エ	氏名、住所、電話番号、パスワード、メールアドレス
システム開発担当者	オ	氏名、住所、電話番号、パスワード、メールアドレス

解説

運用担当者は注文情報CSVファイルが見れてしまうことが問題。

システム開発担当者は会員登録時のログが見れてしまうことが問題。開発担当者はAPサーバへのアクセス権限は持っていませんが、ログ転送先のログサーバ上で情報が参照できます。

【記載誤っていたので修正】

まずシステムの全体像を整理します。

本番APサーバ・本番バッチサーバ・本番ログサーバに各種ログ等が保存されており、サーバへのアクセスやファイルアクセスは権限により細かく制御されています。

ではまずシステム運用担当者がアクセス可能は範囲を確認してみます。

システム運用担当者は「本番APサーバ」と「本番バッチサーバ」へアクセスできます。

また、本番APサーバに保存されているログについては「rw-rw-r」なので、サーバにアクセスできれば誰でも参照することができます。

よってシステム運用担当者は本番APサーバからaddUser時のログが参照できてしまいます。

次にシステム開発者がアクセス可能な範囲を確認します。

システム開発者は参照本番ログサーバも参照できます。ここにはAPサーバからログが転送されてきておりますので、addUser時のログが参照できてしまいます。

参照できてはならない情報については、ユーザマスタテーブルのうち表1で重要情報と挙げられているものになります。

ユーザOID, ユーザID, パスワード, 氏名, 郵便番号, 住所, 電話番号, メールアドレス, 作成日時, 更新日時

(4) 図4中のfに入れる適切な字句を答えよ。

解答

SHA-256

解説

(5) 図4中のgに入れる適切な処理を,ソースコード又は具体的な処理内容のいずれかで答えよ。

解答

エラーメッセージをWebシステムに返し処理を終了する

解説

このシステムでの「回復不能」な場合の期待値がわからない、、

(6) 図4中のhに入れる適切なソースコードを答えよ。

解答

finally

解説

該当のコードを確認すると、変数psObjの状態を確認しています。

変数psObjについては問題文中で下記指摘がされています。

利用するAPサーバの実装では, 変数psObjの指すメモリ領域においてメモリリークが発生する可能性がある。

この指摘に対応するため、変数psObjが存在していれば必ず開放して処理を終了するという処理が入れられています。

(7) 本文中の下線2について,図4の6,7行目をどのように修正すればよいか。修正後の適切なソースコードを解答群の中から選び, 記号で答えよ。 ここで,変数saltには,addUserメソッドの呼出しごとに異なる32 バイトの固定長文字列が入っているものとし,ユーザーマスターテーブルの定義に変更はないものとする。

解答

ア

解説

saltの使い方

おすすめ参考書

情報処理教科書 情報処理安全確保支援士