IT用語帳
APセキュリティ · 情報セキュリティ

CAPTCHA

Completely Automated Public Turing test to tell Computers and Humans Apart

きゃぷちゃ

人間には判読できるが機械には認識しにくい歪んだ文字や画像を提示し、操作しているのが人間かプログラムかを判別する仕組み。会員登録や投稿フォームで、ボットによる自動投稿や大量アカウント作成を防ぐために使う。

共有:

Related

他の資格での定義

Past Exams

過去問での出題

過去問で 7 回出題(情報セキュリティマネジメント試験 4・基本情報技術者試験 2・応用情報技術者試験 1)。うち 2 回は用語そのものを問う問題です。

出典: 独立行政法人情報処理推進機構(IPA)の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

応用情報技術者試験の過去問によく出る用語

Related

関連キーワードの用語

SCセッション管理

Webアプリケーションにおいてユーザーの状態を維持するための仕組みの管理。セッションIDの安全な生成(十分な長さとランダム性)、Cookieのセキュア属性(Secure、HttpOnly、SameSite)の設定、セッションタイムアウト、ログイン時のセッションID再生成などが重要な対策となる。

SCセッションIDの固定化

攻撃者があらかじめ用意したセッションIDを利用者に使わせ、その利用者が認証を済ませた後に同じIDでセッションを乗っ取る攻撃。認証成功時にセッションIDを再発行することが基本的な対策となる。

SCプロキシ認証

プロキシサーバを経由して外部へアクセスする際に利用者認証を求める仕組み。誰がどのサイトへアクセスしたかをログに残せるため、追跡性の確保と不正利用の抑止に役立つ。

SCJWT(JSON Web Token)

利用者IDや有効期限などの情報(クレーム)をJSONで表し、デジタル署名やMACを付けて改ざんを検知できるようにしたトークン。署名付きのJWTは、ヘッダー・ペイロード・署名をそれぞれBase64URLで符号化し、ピリオドでつないだ文字列で表す。OpenID ConnectのIDトークンやAPIのアクセストークンに使われ、受け取った側が署名とアルゴリズム(alg)を正しく検証しないと、改ざんされたトークンや署名のないトークン(alg=none)を受け入れてしまう。

APデジタル署名

送信者の秘密鍵でメッセージのハッシュ値を暗号化して生成する電子的な署名。受信者は送信者の公開鍵で復号し、メッセージの改ざんがないこと(完全性)と送信者本人であること(認証・否認防止)を検証できる。

APPKI

公開鍵暗号方式を基盤とした認証基盤。認証局(CA)がデジタル証明書を発行し、公開鍵の正当性を保証する。ルート証明書、中間CA証明書、サーバ証明書の階層構造を持ち、証明書失効リスト(CRL)やOCSPで失効管理を行う。SSL/TLSの信頼性の基盤。