IPA SC(情報処理安全確保支援士試験)勉強(2)

[前回](https://qiita.com/ib_tech/items/cf4edd85a64f7eb71c0d
)

## 目的
過去2回落ちているSC。また申し込んでしまったが勉強とにかく面白くない。ので勉強をしている記事を書くことで何とか向き合おうとするための勉強用ノート。

とりあえず家にあったこれに沿ってやっていく。なお家にあったのは2021年版。2024年版を買っていない辺りにやる気のなさが表れている。

https://www.amazon.co.jp/2024-%E6%83%85%E5%A0%B1%E5%87%A6%E7%90%86%E5%AE%89%E5%85%A8%E7%A2%BA%E4%BF%9D%E6%94%AF%E6%8F%B4%E5%A3%AB%E3%80%8C%E5%B0%82%E9%96%80%E7%9F%A5%E8%AD%98%EF%BC%8B%E5%8D%88%E5%BE%8C%E5%95%8F%E9%A1%8C%E3%80%8D%E3%81%AE%E9%87%8D%E7%82%B9%E5%AF%BE%E7%AD%96-%E4%B8%89%E5%A5%BD%E5%BA%B7%E4%B9%8B/dp/4865753176/ref=pd_lpo_sccl_1/356-7197981-9101905?pd_rd_w=tXLtr&content-id=amzn1.sym.855d8f70-df76-4181-80b0-56e48ae3bb9b&pf_rd_p=855d8f70-df76-4181-80b0-56e48ae3bb9b&pf_rd_r=B1QP83MW785GM40MVPWW&pd_rd_wg=pPWGE&pd_rd_r=e6a281d7-6536-46b3-bca0-ee96266216a2&pd_rd_i=4865753176&psc=1

前回の記事からコピペとかタグをそのまま使い回すとかできないんか？

## 勉強開始

### 認証とアクセスコントロール
1. シングルサインオン
    - SAML(Security Assertion Markup Language)
    XMLで記載する認証情報の標準規格。
    ```mermaid
    sequenceDiagram
        actor user
        participant service
        participant IdP

        user ->> service: アクセスしたい
        service ->> user: 許可取ってこい（IdPへのリンク）
        user ->> IdP: ID/Password
        IdP ->> IdP: 認証
        IdP ->> user: 認証token
        user ->> service: tokenもらってきた
        service ->> user: OK!
    ```
    - IDフェデレーション
        ```mermaid
        sequenceDiagram
            actor user
            participant service
            participant IdP as GitHub
    
            user ->> service: アクセスしたい
            service ->> user: ログインしろ（他サービスでもいいよ）
            user ->> service: GitHub連携で頼む
            service ->> user: http://github.com
            user ->> IdP: ユーザーID/password
            IdP ->> service: 認証token
            service ->> IdP: 利用するための情報くれ（認証token）
            IdP ->> service: OK（あいつは正しいUser）
            service ->> user: OK!
        ```
    - SPNEGO(Simple and Protected GSSAPI Negotiation Mechanism)
    いくつもプロトコルあるけど結局シーケンスにしたら全部同じなのでは？
    プロトコルの中身なんて知らなくても問題ないやろ。。

1. ICカード
    - 耐タンパ性
    ICカードのセキュリティ力
    - PIN(Personal Identification Number)
    ICカードのパスワード
    - 端末とICカードの相互認証
        - 内部認証
        端末がICカードを認証する
        ```mermaid
        sequenceDiagram
            participant tanmatu as 端末
            participant ic as ICカード

            tanmatu ->> ic: 乱数
            ic ->> ic: 端末との共通鍵で乱数を暗号化
            ic ->> tanmatu: 暗号化した乱数
            tanmatu ->> tanmatu: 複合・検証
        ```
        - 外部認証
        ICカードが端末を認証する
        ```mermaid     
        sequenceDiagram
            participant tanmatu as 端末
            participant ic as ICカード

            ic ->> tanmatu: 乱数
            tanmatu ->> tanmatu: ICカードとの共通鍵で乱数を暗号化
            tanmatu ->> ic: 暗号化した乱数
            ic ->> ic: 複合・検証
        ```
        - 内部構造
        CPU, OS, ファイルシステムなどが中に入っている。知らんかった。
        - 認証
            - 二要素認証
                - 記憶：パスワードとか
                - 所有：物理カードとか、OTPはここらしい
                - 整体：指紋とか
            - 3Dセキュア
            決済時にカード会社が行う本人確認サービス。例えばdocomoだと https://service.smt.docomo.ne.jp/keitai_payment/about/app_credit_auth.html
            - FIDO(Fast Identity Online)認証
            https://fidoalliance.org/?lang=ja
            分からんというか面白くなさすぎて読めない
        - 認証情報の窃取
            - ネットワーク盗聴
            パスワードを平文で送るな
            - キーロガー
            会社の入り口のやつとか毎回番号の位置変わるよね
            - オートコンプリート
            OFFにするのは難しい
            - パスワードクラッキング
            総当たりとか辞書とか
            - フィッシング
            フィッシング詐欺は今日も流行っているようだ
            - ゴールデンチケット
            Active Directoryの脆弱性を突いて管理者権限を手に入れる


## 勉強終了
相変わらず面白くない・・・。

## 次回
演習問題１（[H29春期午後Ⅰ問3](https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fqpm-att/2017h29a_sc_pm1_qs.pdf)）