正解：ウ
各選択肢の解説
ア開発者が保守のために設けた、正規の認証を経ずに侵入できる通路
誤り。これはバックドアの説明です。どちらも侵入の入口になりますが、 バックドアは意図をもって作られた通路で、攻撃者が侵入後に仕掛ける場合も あります。うっかりの誤りか、意図的な仕掛けかが違います。
イ利用者が推測されやすい文字列をパスワードに設定している状態
誤り。これも脆弱性の一つですが、プログラムの欠陥ではなく利用者の運用に よる弱点です。修正プログラムを当てても直りません。 直す手段がパッチなのかルールの見直しなのかで分かれます。
ウプログラムの設計や実装の誤りによって生じた、安全上の欠陥
正解。セキュリティホールです。作った側の想定漏れやコードの誤りが原因なので、 直せるのは提供元だけです。公開された修正プログラムを利用者が適用して、 初めて塞がります。
エ利用者をだまして、不正なプログラムを実行させようとする手口
誤り。これは攻撃者側の手口であり、脅威に分類されます。 セキュリティホールは攻撃される側に残っている弱点そのものです。 攻める側の行為か、守る側の状態かで区別します。
理解を深めるために
作ったときに空いてしまった穴
セキュリティホールは、OSやアプリケーションの設計・実装の誤りによって生じた 安全上の欠陥です。わざと開けた穴ではなく、設計のときに想定しきれなかった使い方や、 書き間違えたコードが、結果として攻撃の足がかりになってしまったものを指します。
家にたとえると、泥棒が壊した窓ではなく、施工のときから鍵がかからない造りに なっていた窓です。住人には直せません。建てた側が直し方を出して、 住人がそれを適用して初めて塞がります。
公開されてからが危ない
- 提供元が欠陥を見つけると、修正プログラム（セキュリティパッチ）を配布する
- 公開された時点で、どこに穴があるかは攻撃者にも知られる
- 適用していない利用者だけが狙われる。未適用の期間が長いほど危険が増す
だから対策は「パッチが出たらすぐ当てる」に尽きます。サポートが終了した製品は 新しい欠陥が見つかっても修正が出ないため、使い続けること自体が弱点になります。
似た用語との違い
| 用語 | 何を指すか |
|---|---|
| セキュリティホール | プログラムの誤りによる欠陥。修正プログラムで塞ぐ |
| バックドア | 認証を経ずに入れる通路。意図的に設けられたもの |
| 推測されやすいパスワード | 運用による弱点。ルールの見直しで減らす |
| 利用者をだます手口 | 攻める側の行為。弱点ではなく脅威の側 |
試験では「修正プログラム」「アップデートの適用」と一緒に出てきます。 弱点にはプログラム由来のものと運用由来のものがあり、 セキュリティホールは前者だと押さえておきます。