修了試験 2017-12-10実施分 基本情報技術者試験 問38

解説

正解は2です。 合い言葉による本人確認は、合い言葉を知られると破られるので、それだけで完全に本人と確定できるわけではありません。 そこで、あらかじめ登録された連絡先に、本人だけが使える再登録の手段を届ける方法がとられます。 また、現在のパスワードをメールで送ることは、パスワードを復元できる形で保存していることになり、望ましくありません。 【選択肢別解説】 1：× 現在のパスワードをメールで送ると、メールが盗み見られたときにパスワードが漏れます。 サイト側が元のパスワードを復元できる形で保存している点も問題です。 2：○ 登録済みのメールアドレスに推測困難なURLを送ると、本人のメールを受け取れる人だけがパスワードを再登録できます。 現在のパスワードを送らないので安全性が高い方法です。 3：× 新たに入力させたメールアドレスは、攻撃者が自分のアドレスを入力できます。 さらに現在のパスワードを送るので、二重に危険です。 4：× 推測困難なURLを送る点はよいものの、新たに入力させたメールアドレス宛てでは、攻撃者が自分のアドレスを指定して再登録できてしまいます。 【ポイント】 パスワードの再設定では、「登録済みの連絡先を使う」「現在のパスワードは送らない」の2点が重要です。 パスワードはハッシュ値で保存し、サイト側でも元に戻せないようにするのが基本です。