覚えたことを、
つなげてみよう。

ブラウザ

ブラウザはWebページを利用するクライアント側のソフトウェアです。サーバーに要求し、受け取った内容を画面に表示します。

• DNS：DNSは名前の情報を調べるしくみで、ページを表示するソフトではありません。
• Webサーバー：Webサーバーは要求に応答する側です。利用者の画面を表示するブラウザと区別しましょう。
• ルーター：ルーターはネットワーク間でデータを中継する機器です。

レスポンス

要求がリクエスト、応答がレスポンスです。方向を矢印で考えると区別できます。

• リクエスト：リクエストはブラウザからサーバーへの要求です。方向が逆です。
• パスワード：パスワードは認証に使う情報で、応答全体の名前ではありません。
• 検索語：検索語は利用者が検索サービスへ入力する内容です。

HTMLとは別に画像を要求する場合がある

ブラウザは文書を読み、必要に応じて画像などを追加取得します。検索はサービス、ブラウザはそれを利用するソフトウェアです。

• どのページも必ず1回の通信だけで表示される：画像やCSSなどを追加取得する場合があるため、回数は一定ではありません。
• ブラウザと検索エンジンは同じもの：検索エンジンは探すサービス、ブラウザは表示する道具です。
• Webサーバーが利用者の画面を直接描画する：通常、受け取ったデータを画面に組み立てるのは利用者側のブラウザです。

写真の取得に問題がある可能性を調べる

一部のデータだけ取得できないことがあります。観察できた事実から、本文と写真の取得を分けて考えます。

• インターネット全体が停止している：本文が表示されている事実だけでは、インターネット全体の停止とは言えません。
• 表示済みの本文も届いていない：本文は表示できています。確認できた事実を否定しないようにしましょう。
• ブラウザを使っていない証拠である：ブラウザでも画像だけ取得できない状態は起こります。

DNS

DNSは名前に対応する情報を調べるしくみです。Webページの構造を表すHTMLや、見た目を整えるCSSとは役割が異なります。

• HTML：HTMLは文書の構造を表します。名前の情報を調べる仕組みではありません。
• CSS：CSSは表示の見た目を指定します。
• 多要素認証：多要素認証は本人確認を強める方法です。

サイト内の対象を示すパス

「/menu」はパスです。ホストを示す「shop.example」や方式を示す「https」と区別します。

• 通信先のIPアドレス：IPアドレスではありません。URLのホスト名より後にある部分です。
• DNSサーバーの名前：DNSへの問い合わせ先を表す部分ではありません。
• 暗号化のためのパスワード：URLのパスとパスワードは別のものです。

名前に対応する情報を返す

DNSは名前の情報を扱います。本文の取得、認証、通信の保護をDNSだけで行うわけではありません。

• Webページの本文を常に返す：本文を返すのはWebサーバー側の役割です。
• 利用者の本人確認を必ず行う：名前解決は利用者の本人確認ではありません。
• すべての通信を暗号化する：DNSを使うだけで全通信が暗号化されるわけではありません。

キャッシュされた結果を利用する場合がある

保存済みの結果を一定期間利用することがあります。DNSの成功と、その後の接続・ページ取得の成功は別です。

• 名前とIPアドレスは必ず永久に一対一である：複数アドレスが対応することも、対応が更新されることもあります。
• URL全体とドメイン名は常に同じである：URLには方式やパスなども含まれます。
• 名前解決に成功すればページの取得も必ず成功する：名前解決後に接続やサーバー側の応答で問題が起こる場合があります。

HTTP通信をTLSで保護する

HTTPSは通信経路の保護に役立ちます。記事の真偽、端末の感染、認証情報の使い回しは別の問題です。

• 掲載情報が必ず正しいことを保証する：掲載情報の正しさはHTTPSだけでは保証されません。
• すべてのウイルスを削除する：HTTPSはウイルス対策ソフトではありません。
• パスワードの使い回しを安全にする：同じパスワードの漏えいによる被害はHTTPSだけでは防げません。

要求した対象が見つからないことを示す

404は対象が見つからないことを示すHTTPの状態コードです。サーバーから応答を受けたことと、望む内容が見つかったことは別です。

• インターネット全体が停止した：応答を受けているので、それだけで回線全体の停止とは言えません。
• 本人確認に必ず成功した：404は本人確認の成功を示す番号ではありません。
• DNSの問い合わせが必ず失敗した：名前解決の失敗とHTTPの404応答は別です。

これらはHTTPSだけでは判断できない

通信の保護と内容・運営者の信頼性を切り分けましょう。攻撃者のサイトでもHTTPSを利用できる場合があります。

• 掲載記事の正確さ：暗号化は内容の事実確認をしません。
• 運営者の誠実さ：ドメインへの接続の確認と、運営者の誠実さは別です。
• 販売される商品の品質：HTTPSは商品の審査をする仕組みではありません。

普段使う公式アプリ等から状況を確認する

正規の経路から確認することで、メールが用意した誘導先を避けられます。認証コードも本人確認に使われる大切な情報です。

• HTTPSなので即座に入力する：HTTPSだけで要求の正当性はわかりません。
• メールに認証コードを返信する：認証コードを求める相手に渡すと、悪用されるおそれがあります。
• 同じパスワードを別サイトでも試す：別サイトで試しても、そのメールの正当性は確認できません。

認証

本人かを確認するのが認証、何を許すかを判断するのが認可です。

• 認可：認可は閲覧や編集など、許される操作を決めることです。
• 圧縮：圧縮はデータの表現を小さくする処理です。
• 名前解決：名前解決はドメイン名等に対応する情報を調べる処理です。

パスワードと本人の指紋

パスワードは知識要素、指紋は生体要素です。他の選択肢はいずれも知識要素だけの組合せです。

• パスワードと別の暗証番号：どちらも知識要素です。入力が2つでも種類は増えません。
• 同じパスワードを2回入力：同じ情報を2回入れても新しい要素は加わりません。
• 秘密の質問の答えを2つ入力：秘密の質問も知識要素に分類されます。

認可

ログイン後に許す操作の範囲を決めるため、認可の設定です。認証に成功していても権限は限定できます。

• DNS：名前の情報を調べる話ではありません。
• 画像圧縮：表示する画像の容量の話ではありません。
• 暗号化方式：通信の暗号方式を決める話ではありません。

一つの漏えいによる他サービスへの被害を抑えるため

同じ情報を複数サービスで使うと、一つのサービスからの漏えいが他のサービスへの不正ログインにつながるおそれがあります。

• DNSの処理が速くなるから：パスワードの使い分けでDNSが速くなるわけではありません。
• 画面の表示色が変わるから：画面の色と認証情報の使い回しは関係ありません。
• 必ず記憶しやすくなるから：目的は覚えやすさではなく被害の連鎖を抑えることです。

機密性

許されていない人が情報を知ることになったため、機密性が損なわれています。停止や変更は問題文にはありません。

• 可用性：可用性は必要なときに使えることです。この例は漏えいが中心です。
• 表示速度：処理速度ではなく、誰に情報が渡ったかを考えます。
• 画面解像度：画面の細かさと漏えいは別の話です。

完全性

情報の正確な状態が不正な変更で損なわれたため、完全性の問題です。

• 可用性：この例で示されているのは利用停止ではなく内容の変更です。
• 名前解決：ドメイン名の情報を調べる処理ではありません。
• 通信速度：データを送る速さではなく、内容の正しさの問題です。

可用性

必要なときにサービスを利用できないため、可用性が損なわれています。書かれた条件に沿って分類しましょう。

• 機密性：問題文では漏えいは起きていません。
• 完全性：問題文ではデータの変更は起きていません。
• パスワードの長さ：パスワードの長さについての条件は書かれていません。

データを戻すための備えであり、保存先の保護や復元確認も必要

バックアップは失ったデータを戻すための対策です。それだけで全ての被害を防げるわけではなく、復元できる状態で保管する必要があります。

• 取得すれば情報漏えいが必ず防げる：複製を取ることと、不正な閲覧を防ぐことは別の対策です。
• 取得後は復元の確認が不要になる：必要なときに戻せなければ目的を果たせないため、復元確認も大切です。
• 暗号化と同じ役割しか持たない：暗号化は内容を保護する技術、バックアップは復元への備えです。