令和4年度秋期 応用情報技術者試験 午前 問37
サイドチャネル攻撃に該当するものはどれか。
- ア 暗号アルゴリズムを実装した攻撃対象の物理デバイスから得られる物理量（処理時間，消費電力など）やエラーメッセージから，攻撃対象の秘密情報を得る。
- イ 企業などの秘密情報を不正に取得するソーシャルエンジニアリングの手法の一つであり，不用意に捨てられた秘密情報の印刷物をオフィスの紙ごみの中から探し出す。
- ウ 通信を行う2者間に割り込み，両者が交換する情報を自分のものとすり替えることによって，その後の通信を気付かれることなく盗聴する。
- エ データベースを利用するWebサイトに入力パラメータとしてSQL文の断片を送信することによって，データベースを改ざんする。
解答・解説を見る
正解：ア
AI解説
サイドチャネル攻撃とは、暗号処理を実装した物理デバイスの動作時に漏れ出る処理時間、消費電力、電磁波、エラーメッセージなどの副次的な情報(サイドチャネル情報)を解析して、内部の秘密鍵などの秘密情報を推定・取得する攻撃手法である。 ア: 暗号アルゴリズムを実装した物理デバイスから得られる処理時間や消費電力、エラーメッセージなどの物理的な副次情報から秘密情報を得る手法は、サイドチャネル攻撃そのものであり、これが正解である。 イ: 紙ごみの中から捨てられた秘密情報を探し出す手法はスキャベンジング(トラッシング)というソーシャルエンジニアリングの一種であり、サイドチャネル攻撃ではない。 ウ: 通信の間に割り込み情報をすり替える手口は中間者攻撃(MITM)の説明であり、サイドチャネル攻撃とは異なる攻撃分類である。 エ: SQL文の断片を入力してデータベースを改ざんする手口はSQLインジェクションの説明であり、サイドチャネル攻撃ではない。 💡 サイドチャネル攻撃は「暗号アルゴリズム自体の理論的弱点」ではなく「実装(ハードウェア)から漏れる物理的な副次情報」を突く点が最大の特徴である。
出典：令和4年度 秋期 応用情報技術者試験 午前 問37 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。