トランザクション署名

MITB (Man-in-the-Browser) 攻撃は、PCに感染したマルウェアがWebブラウザの通信を内部で監視・改ざんする攻撃です。利用者が正しい送金先・金額を入力しても、裏でマルウェアが別の口座・金額に書き換えて通信するため、サーバ側では正規の通信と区別がつきません。 これに対する強力な対策が「トランザクション署名」です。操作しているPCとは独立した別のデバイス(専用のトークン等)に、送金先の口座番号や金額などを手入力します。するとデバイスがその取引内容に紐づいた署名(ワンタイムパスワード)を生成します。これをPCから送信することで、通信途中でマルウェアが振込先を改ざんしても署名の検証で失敗するため、不正送金を防ぐことができます。 アやエのような単純な「ログイン用のワンタイムパスワード」では、ログイン成功した後の通信を乗っ取られるMITB攻撃は防げません。イのクライアント証明書も同様に、認証後の改ざんには無力です。

インターネットバンキングでのMITB 攻撃による不正送金について、対策として用いられるトランザクション署名の説明はどれか。

出典令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問7
ア
携帯端末からの送金取引の場合、金融機関から利用者の登録メールアドレスに送金用のワンタイムパスワードを送信する。
イ
特定認証業務の認定を受けた認証局が署名したデジタル証明書をインターネットバンキングでの利用者認証に用いることによって、ログインパスワードが漏えいした際の不正ログインを防止する。
ウ
利用者が送金取引時に、“送金操作を行うPCとは別のデバイスに振込先口座番号などの取引情報を入力して表示された値”をインターネットバンキングに送信する。
エ
ログイン時に、送金操作を行う PC とは別のデバイスによって、一定時間だけ有効なログイン用のワンタイムパスワードを算出し、インターネットバンキングに送信する。