応用情報技術者試験 令和4年度 秋期 午前 問37

【正解】ア

サイドチャネル攻撃とは、暗号方式そのものを数学的に解読するのではなく、暗号処理を実行する装置やソフトウェアから間接的に漏れる情報を手掛かりに、秘密鍵などを推定する攻撃です。例えば、鍵の値によって処理時間や消費電力、電磁波、キャッシュの利用状況がわずかに変化する場合、その差を多数回測定して分析します。入力に応じて異なるエラーメッセージが返される場合も、内部状態を推測する手掛かりになります。したがって、物理量やエラーから秘密情報を得るアが正解です。

イの手法は誤りです。これは、ごみとして捨てられた書類や記録媒体から秘密情報を探す、スキャベンジング又はダンプスターダイビングと呼ばれるソーシャルエンジニアリングです。

ウの手法は誤りです。これは通信する二者の間に入り、それぞれを相手だと信じ込ませて通信を中継、盗聴、改ざんする中間者攻撃です。

エの手法は誤りです。これは入力欄などに不正なSQLの断片を与え、意図しない検索、更新、削除などを実行させるSQLインジェクションです。

【ポイント】 サイドチャネルとは、処理時間、消費電力、電磁波などの「本来の出力ではない漏えい経路」です。 代表例にはタイミング攻撃、電力解析攻撃、キャッシュ攻撃があります。 対策には処理時間の均一化、電力変動の抑制、エラー内容の統一などがあります。