情報セキュリティマネジメント試験 科目A 情報セキュリティ全般 練習問題 第20問: 社内システムのログインを、FIDO の仕組みを使ったパスワードレス認証（パスキーなど）に切り替えることになった。この方式の仕組みの説明として、最も適切なものはど

正解: 2. 認証に使う秘密鍵は利用者の端末の外に出さず、サーバには対応する公開鍵だけを登録しておく。

秘密鍵を端末の外に出さず、サーバには公開鍵だけを登録する説明が適切です。国家サイバー統括室『インターネットの安全・安心ハンドブック Ver5.10』は、FIDO では本人の認証をパソコンやスマホなどの機器の上で行い、サービスへは本人だと認証したという情報だけをやり取りすると説明しています。比較の図では、サーバには公開鍵を保存し秘密鍵は保存しないこと、秘密鍵はデバイスの外に出ないことが示されています。サーバ側に盗むべきパスワードが無いので、登録情報がまとめて盗まれる攻撃が成功しにくくなります。秘密鍵をサーバに置く方式や、公開鍵と秘密鍵の置き場所を逆にした方式は FIDO ではありません。生体情報をサーバに送って照合する方式は、認証情報をサーバに置く従来型の方式です。秘密鍵がどこにあるかで区別しましょう。

関連キーワード: FIDO・パスキー・パスワードレス認証・公開鍵暗号方式