知識マップ: 情報処理安全確保支援士 令和6年春 午後問1解説 ── JWTのalg=noneとAPI認可、WAFの暫定対策

記事「情報処理安全確保支援士 令和6年春 午後問1解説 ── JWTのalg=noneとAPI認可、WAFの暫定対策」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

令和6年春の情報処理安全確保支援士午後問1は、RESTful APIのステートレスな要求に対して認証と認可を別々に設計する重要性を問う問題です。JWTの署名検証はalg=noneを許すとアカウント乗っ取りに通じ、認証が済んでもオブジェクト単位(BOLA)やプロパティ単位(Mass Assignment)の認可を欠くと他人のデータや有償状態が書き換えられます。4桁の短期認証コードは総当たりに弱く、試行回数制限で軽減します。Log4Shell型の脆弱性ではJNDI Lookupが外部コード実行を招き、WAFは修正版ライブラリへの更新が出るまでの暫定緩和に位置づけられます。

flowchart LR
    accTitle: 情報処理安全確保支援士 令和6年春午後問1(APIセキュリティ)の知識マップ
    accDescr: RESTful APIのステートレスな信頼境界、JWT署名検証とalg=none、認証と認可の分離、オブジェクト・プロパティ単位の認可不備、4桁認証コードの総当たり、Log4ShellのJNDI LookupとWAFの暫定対策の関係を示す図
    rest_api["REST API"]
    jwt["JWT(JSON Web Token)"]
    authorization["認可"]
    waf["WAF(Web Application Firewall)"]
    stateless["ステートレス"]
    authentication["認証"]
    jwt_signature_verification["JWT署名検証"]
    jwt_allowed_algorithms["JWT許可アルゴリズムリスト"]
    account_takeover["アカウント乗っ取り"]
    jwt_alg_none["JWTのalg=none攻撃"]
    bola["BOLA(オブジェクト単位の認可不備)"]
    unauthorized_data_access["未許可データアクセス"]
    update_dto_allowlist["更新用DTOの許可リスト"]
    mass_assignment["Mass Assignment(プロパティ単位の認可不備)"]
    privilege_escalation["権限昇格"]
    four_digit_auth_code["4桁認証コード"]
    brute_force["総当たり攻撃(ブルートフォース)"]
    account_lockout["アカウントロック"]
    log4shell["Log4Shell(CVE-2021-44228)"]
    jndi_lookup["JNDI Lookup"]
    arbitrary_code_execution["任意コード実行"]
    library_update["ライブラリの修正版への更新"]
    waf_detection_mode["WAF検知モード"]
    waf_blocking_mode["WAF遮断モード"]
    rest_api -->|"前提とする"| stateless
    authentication -->|"より先に行うべき"| authorization
    jwt -.->|"利用する"| jwt_signature_verification
    jwt_signature_verification -->|"で構成できる"| jwt_allowed_algorithms
    jwt_allowed_algorithms -.->|"防止する"| account_takeover
    jwt_alg_none -.->|"原因になり得る"| account_takeover
    authorization -.->|"防止する"| bola
    bola -.->|"原因になり得る"| unauthorized_data_access
    update_dto_allowlist -.->|"防止する"| mass_assignment
    mass_assignment -.->|"原因になり得る"| privilege_escalation
    four_digit_auth_code -.->|"原因になり得る"| brute_force
    brute_force -.->|"原因になり得る"| account_takeover
    account_lockout -.->|"軽減する"| brute_force
    log4shell -->|"利用する"| jndi_lookup
    jndi_lookup -.->|"原因になり得る"| arbitrary_code_execution
    waf -.->|"軽減する"| log4shell
    library_update -.->|"防止する"| log4shell
    waf_detection_mode -.->|"より先に行うべき"| waf_blocking_mode

概念間の関係(全18件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

• REST APIはステートレスを前提とします。RESTful APIはサーバーが会話状態を保持せず、各リクエストだけで必要な情報を含むステートレスな方式を取る。 / 確度: 確立した関係 / 確認日: 2026-08-06 出典
• 認証は認可より先に行うべきです。認証（誰であるか）が済んでも、認可（何ができるか）は別の判定である。認可の前に認証を済ませるべきだが、認証成功は認可を自動的には与えない。 / 確度: 確立した関係 / 確認日: 2026-08-06 出典 出典
• JWT(JSON Web Token)はJWT署名検証を利用します。署名を伴うJWT、または本APIが受け入れるJWTでは、ヘッダとペイロードの改ざんを検出するため、信頼する鍵を使った署名検証を利用する。 / 確度: 条件付きの関係 / 確認日: 2026-08-06 出典
• JWT署名検証はJWT許可アルゴリズムリストで構成できます。JWT署名検証はサーバー側で利用を許可するアルゴリズムを固定したリストで構成すべきである。 / 確度: 確立した関係 / 確認日: 2026-08-06 出典 出典
• JWT許可アルゴリズムリストはアカウント乗っ取りを防ぎます。利用を許可するアルゴリズムをRS256などに固定し、攻撃者がalg=noneや弱いアルゴリズムを指定して利用者IDを書き換える攻撃を防ぐ。 / 確度: 条件付きの関係 / 確認日: 2026-08-06 出典 出典
• JWTのalg=none攻撃はアカウント乗っ取りの原因になることがあります。JWTヘッダのalgをnoneに書き換えると署名検証がスキップされ、ペイロードの利用者IDを自由に書き換えて他人になりすませる。 / 確度: 条件付きの関係 / 確認日: 2026-08-06 出典 出典
• 認可はBOLA(オブジェクト単位の認可不備)を防ぎます。リクエスト内の利用者ID(mid)とJWTが示す主体を照合するなど、オブジェクト単位の認可を実施すれば、他人の情報へのアクセスを防ぐ。 / 確度: 条件付きの関係 / 確認日: 2026-08-06 出典 出典
• BOLA(オブジェクト単位の認可不備)は未許可データアクセスの原因になることがあります。正しいJWTを持ったままリクエストのmidを他の利用者IDに差し替えると、本人の認可なしに他人のデータを取得・更新できる。 / 確度: 条件付きの関係 / 確認日: 2026-08-06 出典 出典
• 更新用DTOの許可リストはMass Assignment(プロパティ単位の認可不備)を防ぎます。更新可能なプロパティだけを許可リストにしたDTOを使い、未知のプロパティを内部オブジェクトにバインドしない（可能なら拒否・監査）ことで、status=paidのような予期しない更新を防ぐ。 / 確度: 条件付きの関係 / 確認日: 2026-08-06 出典 出典
• Mass Assignment(プロパティ単位の認可不備)は権限昇格の原因になることがあります。仕様にないstatus=paidなどのプロパティをリクエストに追加して自動バインドされると、無償利用者が有償利用者の状態へ変更されうる。 / 確度: 条件付きの関係 / 確認日: 2026-08-06 出典 出典
• 4桁認証コードは総当たり攻撃(ブルートフォース)の原因になることがあります。4桁の数値認証コードは候補数が1万通りしかなく、制限がなければ自動的に総当たりされやすい。 / 確度: 条件付きの関係 / 確認日: 2026-08-06 出典 出典
• 総当たり攻撃(ブルートフォース)はアカウント乗っ取りの原因になることがあります。認証コードを総当たりで当てれば、本来なら到達できない利用者のJWTを取得し、認証を突破できる。 / 確度: 条件付きの関係 / 確認日: 2026-08-06 出典 出典
• アカウントロックは総当たり攻撃(ブルートフォース)を軽減します。連続失敗回数がしきい値を超えたらアカウントをロックすることで、4桁認証コードに対する総当たり攻撃を抑える。 / 確度: 条件付きの関係 / 確認日: 2026-08-06 出典 出典
• Log4Shell(CVE-2021-44228)はJNDI Lookupを利用します。Log4Shellは、ログメッセージ中の文字列をJNDI Lookupとして評価し、LDAP/HTTPなどの外部リソースを解決する仕組みを悪用する。 / 確度: 確立した関係 / 確認日: 2026-08-06 出典 出典
• JNDI Lookupは任意コード実行の原因になることがあります。制御可能な文字列がログに出力され、脆弱なライブラリがJNDI Lookupを評価すると、外部から任意のコードを実行できる。 / 確度: 条件付きの関係 / 確認日: 2026-08-06 出典 出典
• WAF(Web Application Firewall)はLog4Shell(CVE-2021-44228)を軽減します。WAFはJNDI/ldapなどの文字列をHTTPリクエストから検知し、Log4Shell攻撃の到達を一時的に軽減する。 / 確度: 条件付きの関係 / 確認日: 2026-08-06 出典 出典
• ライブラリの修正版への更新はLog4Shell(CVE-2021-44228)を防ぎます。脆弱性のあるLog4jなどのライブラリを修正版に置き換えることで、JNDI Lookupによる攻撃経路を根本的に塞ぐ。 / 確度: 条件付きの関係 / 確認日: 2026-08-06 出典 出典
• WAF検知モードはWAF遮断モードより先に行うべきです。WAFを遮断モードに移す前に検知モードで運用し、誤検知による正規通信の遮断を確認してから本番適用するべきである。 / 確度: 条件付きの関係 / 確認日: 2026-08-06 出典 出典

主要概念の定義

REST API

HTTPを介してJSONやXMLなどの構造化データをやり取りする、Webベースのアプリケーションプログラミングインターフェース。

JWT(JSON Web Token)

ヘッダ、ペイロード、署名をBase64Urlで連結したJSON形式のクレーム表現。署名・暗号化は任意であり、alg=noneのように署名がないトークンもありえる。

認可

認証された利用者に対し、その利用者がどのリソースや操作を許可されるかを判断すること。

WAF(Web Application Firewall)

ウェブサイトへの通信を監視し、攻撃とみなした通信を遮断する仕組み。位置づけは保険的対策で、根本的解決の代わりにはならない。

認証

利用者が主張する身份を確認すること。パスワード、ワンタイムパスワード、または短期認証コードなどで行われる。

JWT署名検証

JWTの署名を信頼する鍵で検証し、ヘッダとペイロードの改ざんを検出する処理。

JWT許可アルゴリズムリスト

JWT署名検証で利用を許可するアルゴリズムをサーバー側の設定で狭く固定したリスト。alg=noneや弱いアルゴリズムの選択を防ぐ。

JWTのalg=none攻撃

JWTヘッダのalgをnoneに書き換え、署名検証を回避しようとする攻撃。サーバーがalgヘッダの値に従って検証アルゴリズムを選ぶ実装で成立する。

BOLA(オブジェクト単位の認可不備)

認証された利用者が、URLやパラメータで指定する他人のオブジェクトにアクセス・更新できる脆弱性。

更新用DTOの許可リスト

更新対象とするプロパティだけを列挙したデータ転送オブジェクト。許可リストにないプロパティは内部オブジェクトにバインドされず、必要に応じて拒否または監査される。Mass Assignmentを防ぐために用いられる。

Mass Assignment(プロパティ単位の認可不備)

リクエストに含まれる予期しないプロパティがサーバーの内部オブジェクトにそのまま反映され、権限を超える更新ができる脆弱性。

4桁認証コード

4桁の数値で構成される短期認証コード。候補数が1万通りしかなく、総当たりに対して弱い。

総当たり攻撃(ブルートフォース)

認証コードやパスワードを自動的に列挙して試行する攻撃。

アカウントロック

認証失敗が連続した場合にアカウントや端末を一時的にロックし、追加の試行を防ぐ仕組み。

Log4Shell(CVE-2021-44228)

Apache Log4j 2のJNDI Lookup機能に起因する脆弱性。ログメッセージ中の文字列がJNDI Lookupとして評価され、外部リソースを取得する。

JNDI Lookup

Java Naming and Directory Interfaceを使って、LDAPやHTTPなどの外部リソース名をJavaオブジェクトに解決する機構。

ライブラリの修正版への更新

脆弱性のあるライブラリを修正版に置き換える対応。脆弱性の根本的な解消となる。

WAF検知モード

WAFが攻撃と思われる通信を検知してログに記録するが、遮断しない動作モード。導入初期や誤検知確認時に使われる。

機械可読データ

• JSON-LD / Turtle ── この記事の知識グラフ全体
• 概念一覧 / 語彙(述語)の定義

このデータセットについて

作成

合同会社小村ソフト

ライセンス

CC BY 4.0 ── 出典(合同会社小村ソフト)とライセンスへのリンクを明示し、改変した場合はその旨を示すことを条件に、再配布・改変を含めて再利用できます

最終確認日

2026-08-06 ── 収録する関係のうち、最後に出典と照合した日

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。