情報セキュリティマネジメント試験情報＆徹底解説

いつもお世話になっております。
令和元年秋期 午前問13の解説中にある「ＴＳＩＧが合わない拒否します」の部分が不明です。
図にある利用者からインターネットバンキングへの処理で「口座番号、送金金額」がマルウェアによって書き換えられたというのは分かるのですがＴＳＩＧの数字はマルウェアの前後では変わっていないのですが・・・。
「ＴＳＩＧ４３２６７８９３」は「口座番号１２３４５６、送金金額１０，０００円」であり
「口座番号、送金金額がマッチしないものはＴＳＩＧ４３２６７８９３ではない」と解釈すれば良いのでしょうか・・・読解力がなくてスミマセン。

予想問題に苦戦さん
おはようございます。いつも朝早いですね。
真剣に勉強していらっしゃる。合格は見えてきましたね。

トランザクション署名は、「口座番号、送金金額」の鍵付きハッシュ関数
だそうです。
よって、口座番号、送金金額が変わればハッシュ値も変わるはずです。
問題では正しい口座番号、送金金額から生成されたトランザクション署名の
ハッシュ値と
MITBで改ざんされた口座番号、送金金額からは全く大きく異なるトランザクション
署名のハッシュ値となるはずですが、同じハッシュ値なので改ざんがわかる、という
仕組みです。

ポイントはマルウェアに感染していたPCとは別の機器でトランザクション署名
作成することで、マルウェアの影響が及ばない仕組みですね。

余談ですがMITM、MITB攻撃はマイケルジャクソンのマンインザミラーに絡めて
覚えました。

さて、次のお悩みいってみましょうか。

AgentTaka様
解説有難うございます。

「改ざんされた口座番号、送金金額」なのに「同じハッシュ値」なので改ざんが
分かるということですね。スッキリしました。
AgentTaka様の午後対策法については色々と試されて、結果が出ているので羨ましく
思います。
私の方は、午前問題の正解率は未だ８０％にもいかず
午後の問題も２年分を解きましたが６０％・・・まだまだです。

問の会社概要のような部分は読まず、設問から読み始め
「本文中のカッコや四角に入れる字句はどれか？」との問いに対して、その部分を
探して解答群より選ぶ方法で解いています。
会社概要やその会社のシステム概要は読んでも頭に入りません(>_<)
必要な部分なのか・・・

予想問題に苦戦さん
こんにちわ。
60%で合格なので十分圏内ですね。
しかもだま2ヶ月ありますから一つずつ疑問点を解決していけば
必ずや予想問題に苦戦さんなら合格出来ると確信しています。
わたしは午前の修正点を出し尽くしたと天狗になっていましたが
予想問題に苦戦さんが、さらに修正点をご指摘していたので
むむ、タダものじゃない！とマークしていたんですよ。（笑）

今回のMITB攻撃にはトランザクション認証が有効、と学んでおけば
過去の午後問題で一発で解答出来るところもあるんですよ。
平成30年秋問1.インターネットを利用した振込業務の情報セキュリティリスク
設問４（２）がそうです。
なので、午前の知識は当然必要でベースラインとなりますよね。
午後はわたしも苦戦しながら攻略方法を試行錯誤しています。

午後の設問から問題文に戻って解答を探す作戦は時短の様にも
考えられますが逆に回答を導き出すまで時間がかかるリスクも
あるかと存じます。
わたしも問題文は覚えなくて良い、と達観しています。
ポイントとなる部分に○や下線つけて、設問で問われた時に
戻ればいいだけです。
だまされたと思ってわたしの攻略法を試してみるのもいいでしょう。
2～3問こなせば要領がつかめてくるはずです。
自分には合わない、と思ったらやめればいいだけですから。（笑）

お互い、合格目指して今後も連携していきましょう！
よろしくお願い申し上げます。