【基本情報】情報セキュリティ完全攻略｜暗号・認証・攻撃手法を一気に整理

「共通鍵暗号と公開鍵暗号がごちゃごちゃになる…」

「ハッシュ化と暗号化って何が違うの？」

「SQLインジェクション、XSS、CSRF……攻撃手法が多すぎる😇」

基本情報技術者試験で、避けて通れない重要分野が、

情報セキュリティ

です。

科目Aではもちろん、科目Bでもセキュリティに関する知識が重要になります。

ただし、セキュリティは用語が多いため、

単語だけを丸暗記すると混乱しやすい

分野でもあります。

そこでこの記事では、

情報セキュリティの基本

↓

暗号

↓

ハッシュ

↓

デジタル署名

↓

認証

↓

攻撃手法

↓

具体的な対策

という順番で整理します。

「攻撃名だけ覚えている状態」から、

何を狙う攻撃なのか → どう防ぐのか

まで説明できる状態を目指しましょう🔥

⸻

1．情報セキュリティの3要素

最初に絶対覚えておきたいのが、

CIA

です。

情報セキュリティの代表的な3要素は、

機密性（Confidentiality）

完全性（Integrity）

可用性（Availability）

です。

頭文字を取って、

CIA

と呼ばれます。

⸻

2．機密性とは？

機密性とは、

許可された人だけが情報へアクセスできる状態

です。

例えば、

では問題があります。

必要な人だけが閲覧できるよう、

アクセス制御

などを行います。

つまり、

「見てはいけない人に見せない」

のが機密性です。

⸻

3．完全性とは？

完全性とは、

情報が正確で、勝手に改ざんされていない状態

です。

例えば、

となってしまえば完全性が失われています。

つまり、

「データを勝手に変えられない」

という観点です。

⸻

4．可用性とは？

可用性とは、

必要なときにシステムや情報を利用できる状態

です。

例えばサーバが攻撃され、

となれば、可用性が低下しています。

つまり、

「使いたいときに使える」

ことです。

⸻

5．CIAを一発整理

覚え方は、

秘密を守る → 機密性

正しさを守る → 完全性

使える状態を守る → 可用性

です。

⸻

6．脅威・脆弱性・リスクの違い

この3つも整理しておきましょう。

脅威

システムへ悪影響を与える可能性のあるもの。

例：

攻撃者・マルウェア・災害など

脆弱性

攻撃などに利用される、

システムの弱点

です。

例：

修正されていないソフトウェアの欠陥

リスク

脅威が脆弱性を利用することで、

損害が発生する可能性

です。

イメージすると、

となります。

⸻

7．暗号化とは？

暗号化とは、

第三者に内容を読まれないようデータを変換すること

です。

そして元に戻す処理を、

復号

といいます。

⸻

8．暗号方式は大きく2種類

基本情報で特に重要なのが、

共通鍵暗号方式

と、

公開鍵暗号方式

です。

ここは頻出なので、確実に区別しましょう。

⸻

9．共通鍵暗号方式とは？

共通鍵暗号方式では、

暗号化と復号に同じ鍵

を使います。

送信者と受信者が、

同じ秘密鍵を共有

する必要があります。

⸻

10．共通鍵暗号の特徴

共通鍵暗号方式のメリットは、

高速に処理できる

ことです。

一方で、

鍵を安全に相手へ渡す必要がある

という問題があります。

つまり、

「その秘密鍵をどうやって安全に共有するの？」

という鍵配送の問題があります。

代表例として、

AES

などがあります。

⸻

11．公開鍵暗号方式とは？

公開鍵暗号方式では、

公開鍵と秘密鍵という異なる2つの鍵

を利用します。

暗号化による機密性確保の典型例では、

となります。

公開鍵は、

公開してOK

秘密鍵は、

本人だけが厳重に管理

します。

⸻

12．公開鍵暗号の流れ

AさんからBさんへ秘密のデータを送りたい場合、

となります。

つまり、

「相手の公開鍵で暗号化 → 相手の秘密鍵で復号」

です。

⸻

13．公開鍵暗号の特徴

メリットは、

秘密鍵そのものを相手へ渡す必要がない

ことです。

一方で、

共通鍵暗号方式より一般に処理負荷が大きい

という特徴があります。

代表例として、

RSA

などがあります。

⸻

14．共通鍵暗号と公開鍵暗号を比較

まずは、

共通鍵＝同じ鍵・高速

公開鍵＝2つの鍵

と覚えましょう。

⸻

15．ハイブリッド暗号方式

実際には、

共通鍵暗号と公開鍵暗号を組み合わせる

方法が利用されます。

これが、

ハイブリッド暗号方式

です。

考え方は、

です。

つまり、

速さと鍵共有のしやすさを組み合わせる

ということです。

⸻

16．ハッシュ関数とは？

暗号とセットで覚えたいのが、

ハッシュ関数

です。

ハッシュ関数はデータを入力すると、

固定長のハッシュ値

を生成します。

重要なのは、

基本的に元データへ戻すための処理ではない

ということです。

⸻

17．暗号化とハッシュ化の違い

ここはよく混同します。

暗号化

復号して元に戻すことを前提

としています。

ハッシュ化

基本的には、

元のデータへ復号する仕組みではありません。

⸻

18．ハッシュ関数の重要な特徴

試験では、次の性質が重要です。

一方向性

ハッシュ値から元データを求めることが困難。

衝突耐性

同じハッシュ値になる異なるデータを見つけることが困難。

また、入力が少し変わるだけでも、通常はハッシュ値が大きく変化します。

⸻

19．ハッシュ関数は何に使う？

代表的な用途は、

改ざん検知

です。

例えば、

として、

なら、データが変化していないことを確認する材料になります。

⸻

20．パスワードにもハッシュが使われる

パスワードをそのまま保存するのは危険です。

そこで一般に、

とします。

ログイン時にも入力されたパスワードを処理し、保存されている値と照合します。

実際の安全なパスワード保存では、単純なハッシュだけではなく、

ソルト

や、パスワード保存向けの適切な方式を組み合わせることが重要です。

⸻

21．ソルトとは？

ソルトとは、

パスワードなどへ付加するランダムな値

です。

同じパスワードを使用しているユーザーでも、異なるソルトを使えば異なる結果にできます。

これによって、

事前計算済みハッシュ値を使った攻撃

などへの耐性を高めます。

⸻

22．デジタル署名とは？

次に重要なのが、

デジタル署名（電子署名）

です。

デジタル署名は主に、

送信者が本人であること

データが改ざんされていないこと

を確認するために利用されます。

ここで公開鍵暗号の考え方が登場します。

⸻

23．デジタル署名の基本

簡略化すると、署名者は、

自分の秘密鍵

を使って署名を生成します。

受信者は、

署名者の公開鍵

を使って署名を検証します。

つまり、

です。

⸻

24．暗号化とデジタル署名を混同しない

ここは超重要です。

秘密のデータを送りたい

典型的には、

受信者の公開鍵で暗号化

↓

受信者の秘密鍵で復号

送信者本人か確認したい

デジタル署名では、

署名者の秘密鍵で署名

↓

署名者の公開鍵で検証

目的が違います。

⸻

25．デジタル署名で確認できること

デジタル署名では主に、

真正性

完全性

などを確認できます。

つまり、

「本当にこの人が署名したのか？」

「途中で改ざんされていないか？」

を確認する仕組みです。

一方、

署名しただけではデータそのものを秘密にするわけではありません。

機密性が必要なら暗号化も必要です。

⸻

26．公開鍵証明書とは？

ここで疑問が出ます。

「この公開鍵、本当にBさんのもの？」

攻撃者が、

「これがBさんの公開鍵です！」

と偽の鍵を渡してくる可能性があります。

そこで利用されるのが、

公開鍵証明書

です。

⸻

27．認証局（CA）

公開鍵証明書を扱う仕組みで重要なのが、

認証局（CA：Certification Authority）

です。

認証局は、

公開鍵とその所有者との対応を確認するための仕組み

で重要な役割を持ちます。

公開鍵証明書を利用することで、

その公開鍵が誰のものなのか

を確認できるようにします。

⸻

28．PKIとは？

PKIは、

Public Key Infrastructure

日本語では、

公開鍵基盤

です。

公開鍵暗号やデジタル証明書、認証局などを利用して、

公開鍵を安全に利用するための仕組み

です。

試験では、

CA・証明書・公開鍵

あたりをセットで覚えておきましょう。

⸻

29．認証とは？

認証とは、

利用者などが正しい本人か確認すること

です。

例えば、

です。

代表的な認証要素は、大きく3種類に分けられます。

⸻

30．認証の3要素

知識情報

本人だけが、

知っているもの

例：

パスワード・PIN

所持情報

本人だけが、

持っているもの

例：

ICカード・スマートフォン・セキュリティキー

生体情報

本人自身の、

身体的特徴

例：

指紋・顔・虹彩

です。

⸻

31．多要素認証とは？

多要素認証（MFA）は、

異なる種類の認証要素を複数組み合わせる方法

です。

例えば、

なら、

知識情報＋所持情報

なので多要素認証です。

⸻

32．二段階認証との違い

多要素認証と二段階認証は同じとは限りません。

二段階認証

2回の認証ステップ

多要素認証

異なる認証要素を複数使用

です。

例えば同じ種類の要素を2段階で確認する方式なら、

二段階ではあっても、多要素とは限らない

という点に注意しましょう。

⸻

33．ここから攻撃手法を整理

セキュリティで最も覚えることが多いのが、

サイバー攻撃

です。

ただし、名前だけ暗記するのではなく、

何を狙う？

↓

どう攻撃する？

↓

どう防ぐ？

の3点セットで覚えましょう。

⸻

34．SQLインジェクション

SQLインジェクションは、

入力欄などへ不正なSQLを含む値を与え、データベースを不正操作しようとする攻撃

です。

例えば、

という処理で、入力値を安全に扱っていないと危険です。

⸻

35．SQLインジェクションの対策

重要なのが、

プレースホルダを利用したパラメータ化クエリ

などです。

つまり、

入力値をSQL文の構造として解釈させない

ようにします。

試験では、

SQLインジェクション
→ プレースホルダ／バインド

という対応を覚えておくと強いです。

⸻

36．XSSとは？

XSSは、

Cross-Site Scripting

の略です。

Webページへ悪意あるスクリプトなどを混入させ、

閲覧者のブラウザ上で実行させる

攻撃です。

例えば、

というイメージです。

⸻

37．XSSの対策

代表的な基本対策は、

出力時の適切なエスケープ

です。

例えば、ユーザー入力をHTMLへ表示するときに、

HTMLとして意味を持つ文字を安全に処理

します。

覚え方は、

XSS → 出力時エスケープ

です。

実際にはContent Security Policyなども防御層として利用されます。

⸻

38．CSRFとは？

CSRFは、

Cross-Site Request Forgery

の略です。

ログイン済みユーザーなどに、

本人の意図しないリクエストを送信させる

攻撃です。

例えば、

というイメージです。

⸻

39．CSRFの対策

代表的な対策として、

CSRFトークン

などがあります。

サーバ側で、

正規の画面・処理から送られたリクエストか

を確認できるようにします。

CookieのSameSite属性なども重要な対策になります。

試験対策ではまず、

CSRF → CSRFトークン

をセットで覚えましょう。

⸻

40．SQLインジェクション・XSS・CSRFを比較

この3つは混同しやすいので、表で覚えるのがおすすめです。

⸻

41．DoS攻撃

DoS攻撃は、

大量の通信や処理要求などによってサービスを利用しにくくする攻撃

です。

狙われるのは主に、

可用性

です。

というイメージです。

⸻

42．DDoS攻撃

DDoSは、

Distributed Denial of Service

です。

多数の端末などから分散して攻撃します。

つまり、

DoSを多数の攻撃元から分散して行う

イメージです。

⸻

43．ブルートフォース攻撃

ブルートフォース攻撃は、

パスワードなどの候補を総当たりで試す攻撃

です。

例えば数字4桁なら、

のように試します。

日本語では、

総当たり攻撃

と呼ばれます。

⸻

44．辞書攻撃

辞書攻撃では、

よく使われる単語などを候補としてパスワードを試します。

例えば、

などです。

ブルートフォースとの違いは、

すべての組合せを試すか

ありがちな候補を優先するか

という点です。

⸻

45．パスワードリスト攻撃

パスワードリスト攻撃は、

別サービスなどから漏えいしたID・パスワードの組合せを他サービスで試す攻撃

です。

ユーザーが、

複数サービスで同じパスワードを使い回している

と被害につながりやすくなります。

対策として、

パスワードの使い回しを避ける

多要素認証を利用する

などが重要です。

⸻

46．フィッシング

フィッシングは、

本物そっくりのメールやWebサイトなどを利用して、認証情報や個人情報などを入力させる手口

です。

例えば、

という流れです。

技術的な脆弱性だけでなく、

人をだます

攻撃であることがポイントです。

⸻

47．ソーシャルエンジニアリング

人間の心理や行動上の隙を利用して情報を取得する手法を、

ソーシャルエンジニアリング

といいます。

例えば、

なりすまして情報を聞き出す

画面や入力内容を盗み見る

捨てられた資料から情報を探す

などです。

システムだけ守っても、人間側から情報が漏れる可能性があります。

⸻

48．ショルダーハッキング

他人の画面やキーボード入力などを、

背後などから盗み見る

手法です。

例えばATMでPINを入力するときに見られるケースなどです。

対策として、

周囲を確認する

覗き見防止フィルタを利用する

などがあります。

⸻

49．マルウェアとは？

マルウェアは、

悪意のあるソフトウェアの総称

です。

つまり、

という関係です。

「マルウェア＝ウイルスだけ」ではありません。

⸻

50．ウイルス

コンピュータウイルスは、他のプログラムやファイルなどへ寄生し、感染を広げるタイプのマルウェアとして整理できます。

ポイントは、

他のファイルなどに感染する

ことです。

⸻

51．ワーム

ワームは、

ネットワークなどを通じて自己増殖・拡散する

タイプのマルウェアです。

ウイルスとの違いとして、

単独で拡散できる

という特徴を押さえましょう。

⸻

52．トロイの木馬

トロイの木馬は、

正常・有用なソフトウェアなどを装って侵入し、悪意ある動作をする

タイプです。

名前の由来どおり、

安全そうに見せかける

のがポイントです。

⸻

53．ランサムウェア

ランサムウェアは、

データを暗号化するなどして利用不能にし、復旧などと引き換えに金銭を要求するマルウェア

です。

というイメージです。

⸻

54．マルウェアを比較

名前と特徴をセットで覚えましょう。

⸻

55．MITM攻撃

MITMは、

Man-in-the-Middle Attack

日本語では、

中間者攻撃

です。

通信している2者の間へ攻撃者が入り、

通信の盗聴や改ざん

などを狙います。

AとBは直接通信しているつもりでも、途中に攻撃者が存在するイメージです。

⸻

56．リプレイ攻撃

リプレイ攻撃は、

過去の正規の通信データなどを取得し、再送することで不正な処理を狙う攻撃

です。

イメージは、

です。

対策には、

nonce（使い捨ての値）

タイムスタンプ

などを利用できます。

⸻

57．ゼロデイ攻撃

ソフトウェアの脆弱性が発見されてから、

修正プログラムなどによる十分な対策が整う前に、その脆弱性を悪用する攻撃

をゼロデイ攻撃と呼びます。

つまり、

対策が間に合っていない脆弱性を狙う

イメージです。

⸻

58．バッファオーバーフロー

プログラムが確保した領域を超えてデータを書き込むことで、異常動作や不正なコード実行などにつながる脆弱性・攻撃があります。

これが、

バッファオーバーフロー

です。

試験では、

入力サイズの確認

などと関連付けて覚えましょう。

⸻

59．ファイアウォール

ファイアウォールは、

ネットワーク通信をルールに基づいて許可・遮断する仕組み

です。

不要な通信を遮断することで、ネットワークを保護します。

⸻

60．IDSとIPS

ここも頻出です。

IDS

Intrusion Detection System

侵入などを、

検知

します。

IPS

Intrusion Prevention System

不正通信などを、

検知して防御・遮断

します。

覚え方は、

IDS＝Detection＝検知

IPS＝Prevention＝防止

です。

⸻

61．WAFとは？

WAFは、

Web Application Firewall

です。

Webアプリケーションへの通信を監視し、

Webアプリを狙う攻撃への防御

に利用されます。

ファイアウォールと混同しやすいですが、

というイメージで整理しましょう。

⸻

62．Firewall・IDS・IPS・WAFを整理

特に、

IDS＝検知

IPS＝防御

は頻出です。

⸻

63．VPNとは？

VPNは、

Virtual Private Network

です。

インターネットなどの公衆ネットワーク上で、

仮想的な専用ネットワーク

を構築する技術です。

通信の暗号化などを利用して、安全な通信経路を確保します。

⸻

64．HTTPSとTLS

Webサイトへアクセスするときによく見る、

HTTPS

では、TLSを利用して通信を保護します。

TLSによって、

通信内容の暗号化

通信相手の認証

通信データの完全性確保

などを実現します。

ブラウザとWebサーバ間の通信を安全にする重要な仕組みです。

⸻

65．バックアップもセキュリティ対策

セキュリティというと、

攻撃を防ぐこと

だけを考えがちですが、

被害を受けた後に復旧できること

も重要です。

例えばランサムウェア対策では、

適切なバックアップ

が非常に重要です。

バックアップは、

可用性

の確保にも関係します。

⸻

66．最小権限の原則

ユーザーへ必要以上の権限を与えない考え方を、

最小権限の原則

といいます。

例えば、

とします。

不要な管理者権限を与えなければ、アカウントが悪用された場合などの被害範囲を小さくできます。

⸻

67．ゼロトラスト

ゼロトラストは、

ネットワークの内側だから安全と無条件に信用しない

という考え方です。

利用者・端末・アクセス状況などを確認しながら、

必要なアクセスだけを許可する

という方向性です。

「社内＝安全、社外＝危険」と単純に分けない点を押さえておきましょう。

⸻

68．頻出の組合せを一気に暗記

ここは試験直前に見返してください👇

⸻

69．よくある間違い① 公開鍵暗号と署名

ここは最大級の引っかけポイントです。

機密性を確保する暗号化

受信者の公開鍵で暗号化

↓

受信者の秘密鍵で復号

デジタル署名

署名者の秘密鍵で署名

↓

署名者の公開鍵で検証

「誰の鍵なのか」を必ず確認しましょう。

⸻

70．よくある間違い② ハッシュ＝暗号化

違います。

暗号化は、

復号して元データを取得する

ことを前提とします。

ハッシュは、

元へ戻すことを目的とした処理ではありません。

つまり、

です。

⸻

71．よくある間違い③ IDSとIPS

迷ったら英語で考えます。

D = Detection
→ 検知

P = Prevention
→ 防止

したがって、

IDS＝検知

IPS＝防止

です。

⸻

72．よくある間違い④ XSSとCSRF

XSS

悪意あるスクリプトを利用者のブラウザで実行させる

CSRF

利用者に意図しないリクエストを送らせる

と整理すると分かりやすくなります。

⸻

73．よくある間違い⑤ ウイルスとワーム

ウイルス

他のファイルなどへ感染

ワーム

自己増殖してネットワークなどへ拡散

です。

ワームの、

自己増殖

をキーワードとして覚えましょう。

⸻

74．練習問題①

暗号化と復号に同じ鍵を使用する方式は？

A：公開鍵暗号方式
B：共通鍵暗号方式
C：ハッシュ方式
D：デジタル署名

答えは、

B：共通鍵暗号方式

です。

⸻

75．練習問題②

データベースへの不正なSQL実行を狙う攻撃は？

A：XSS
B：CSRF
C：SQLインジェクション
D：DoS

答えは、

C：SQLインジェクション

です。

⸻

76．練習問題③

利用者のブラウザ上で悪意あるスクリプトを実行させる攻撃は？

A：XSS
B：DDoS
C：リプレイ攻撃
D：辞書攻撃

答えは、

A：XSS

です。

⸻

77．練習問題④

異なる種類の認証要素を複数組み合わせる方式は？

A：SSO
B：MFA
C：PKI
D：WAF

答えは、

B：MFA（多要素認証）

です。

⸻

78．練習問題⑤

不正な侵入などを検知し、通知するシステムは？

A：IDS
B：IPS
C：WAF
D：VPN

答えは、

A：IDS

です。

⸻

79．試験直前チェックリスト

次を即答できるか確認してみましょう👇

① CIAのCは？
→ 機密性

② CIAのIは？
→ 完全性

③ CIAのAは？
→ 可用性

④ 暗号化と復号に同じ鍵を使う？
→ 共通鍵暗号

⑤ 公開してよい鍵は？
→ 公開鍵

⑥ ハッシュの代表的な用途は？
→ 改ざん検知など

⑦ 署名生成に使う鍵は？
→ 署名者の秘密鍵

⑧ SQLインジェクションの代表的対策は？
→ パラメータ化クエリ

⑨ XSSの代表的な基本対策は？
→ 出力時エスケープ

⑩ CSRFの代表的対策は？
→ CSRFトークン

⑪ IDSのDは？
→ Detection

⑫ IPSのPは？
→ Prevention

⑬ 自己増殖するマルウェアは？
→ ワーム

⑭ 総当たり攻撃は？
→ ブルートフォース攻撃

⑮ 多数の端末からDoSを行う攻撃は？
→ DDoS

ここまで即答できれば、セキュリティの基礎はかなり固まっています🔥

⸻

80．最後にこれだけ覚える

時間がない人は、この対応だけでも押さえてください。

この表は試験前に見返せるよう、

保存推奨です📌

⸻

まとめ

情報セキュリティは用語数が多いですが、全部をバラバラに暗記する必要はありません。

まず、

何を守る？

↓

どんな攻撃？

↓

どんな対策？

という関係で整理するのがポイントです。

特に基本情報では、

CIA

共通鍵暗号・公開鍵暗号

ハッシュ

デジタル署名

認証

SQLインジェクション

XSS

CSRF

DoS・DDoS

マルウェア

IDS・IPS・WAF

あたりを優先して押さえておきましょう。

そして、

攻撃名 → 特徴 → 対策

までセットで説明できるようになれば、選択肢にもかなり強くなります🔥

⸻

📚 基本情報技術者試験を勉強している方へ

このnoteでは、

「基本情報の難しいテーマを、初学者でも分かるように整理する」

をテーマに、科目A・科目Bの頻出分野をまとめています。

今回の情報セキュリティは、基本情報を攻略するうえで特に重要なテーマです。

最初から80個の用語を丸暗記するより、

暗号 → 認証 → 攻撃 → 対策

のように関連付けながら覚えるのがおすすめです。

今後も、

論理演算・アルゴリズム・ネットワーク・データベース・OS・科目B対策

などを順番に解説していきます。

これから基本情報を受ける方は、スキ・フォローしてもらえると嬉しいです🙌

試験前にもう一度確認できるよう、この記事もぜひ保存しておいてください📌認証・認可・暗号化を、図解と無料3問で確認する

暗号と認証を読んだら、次は「本人確認」「操作権限」「通信内容の保護」を事例で分けてみましょう。認証・認可・暗号化の新作無料見本で、図を閉じて3問解き、理由を確認できます。全文無料・加入不要です。

短い図解で復習を続けたい場合は、見本末尾から基本情報の月額500円プランの対象特典を確認できます。全60回講座・全有料記事が読めるプランではありません。

会員の方は利用ガイドの「最初に使う3本」へ。購入済みの方は手持ちのセキュリティ教材で29〜32節の認証と64・66節のTLS・権限を復習してください。同じ記事の重複購入は不要です。この記事の解説・問題・無料範囲は変更していません。