セキュアブートは起動時に何を検証するのか
基本情報技術者試験 平成30年度秋期 午前 問43 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
セキュアブートの説明はどれか。
- ア
BIOSにパスワードを設定し，PC起動時にBIOSのパスワード入力を要求することによって，OSの不正な起動を防ぐ技術
- イ
HDDにパスワードを設定し，PC起動時にHDDのパスワード入力を要求することによって，OSの不正な起動を防ぐ技術
- ウ
PCの起動時にOSやドライバのディジタル署名を検証し，許可されていないものを実行しないようにすることによって，OS起動前のマルウェアの実行を防ぐ技術
- エ
マルウェア対策ソフトをスタートアッププログラムに登録し，OS起動時に自動的にマルウェアスキャンを行うことによって，マルウェアの被害を防ぐ技術
会話形式の解説
講師この問題では、起動時に何を確認し、どの段階で働くかに注目します。
受験者BIOSパスワードも起動時に確認します。これもセキュアブートに当たりますか。
講師BIOSパスワードは起動する利用者を確認します。OSやドライバの署名を調べて実行を許すか決める仕組みではありません。
受験者HDDパスワードも、起動時に入力を求められるだけでは決め手にならないのですね。
講師そのとおりです。HDDパスワードが制限するのはディスクへのアクセスで、起動時のコードの署名は検証しません。
受験者では、OSやドライバのディジタル署名を検証する説明が当てはまりそうです。
講師正解です。起動時に署名を検証して、許可されていないコードを実行させません。これにより、OS起動前に動こうとするマルウェアを防ぎます。
受験者スタートアップの対策ソフトもマルウェアを調べますが、働く時点が違いますか。
講師はい。スタートアップのスキャンはOSの起動処理が始まってから行います。起動前のコードの署名を検証する説明ではありません。
受験者確認する対象が利用者やディスクなのか、起動時のコードの署名なのかを見分ければよいのですね。
講師そのとおりです。マルウェア対策という言葉だけで判断せず、OS起動前に署名を検証する仕組みかどうかも確かめます。
まとめ
セキュアブートは、起動時にOSやドライバのディジタル署名を検証し、許可されていないコードの実行を防ぎます。これにより、OS起動前に動こうとするマルウェアへの対策になります。BIOSパスワードは利用者の確認、HDDパスワードはディスクへのアクセス制限が目的です。スタートアップのスキャンはOSの起動処理が始まってから行われます。
解答・解説
正解はウです
この問題のテーマ
セキュアブートがPCの起動時に何を検証し、どの段階のマルウェアを防ぐかを問う問題です。
解き方の考え方
各選択肢が確認しているものと、確認するタイミングを比べます。セキュアブートの決め手は、起動時に実行されるコードのディジタル署名を検証する点です。
選択肢ごとの解説
- ×ア BIOSにパスワードを設定し，PC起動時にBIOSのパスワード入力を要求することによって，OSの不正な起動を防ぐ技術BIOSパスワードの入力は、起動する利用者を確認するためのものです。OSやドライバの署名を調べて実行の可否を決める仕組みではないため、セキュアブートの説明には当たりません。
- ×イ HDDにパスワードを設定し，PC起動時にHDDのパスワード入力を要求することによって，OSの不正な起動を防ぐ技術HDDパスワードは、ディスクへのアクセスを制限します。パスワードが求められても起動時のコードの署名は検証されないため、セキュアブートとは異なります。
- ○ウ PCの起動時にOSやドライバのディジタル署名を検証し，許可されていないものを実行しないようにすることによって，OS起動前のマルウェアの実行を防ぐ技術OSやドライバのディジタル署名を起動時に検証し、許可されないコードの実行を防ぐという説明です。OSが起動する前に動こうとするマルウェアへの対策になるので、これが正解です。
- ×エ マルウェア対策ソフトをスタートアッププログラムに登録し，OS起動時に自動的にマルウェアスキャンを行うことによって，マルウェアの被害を防ぐ技術スタートアップに登録した対策ソフトによるスキャンは、OSの起動処理が始まってから行います。起動前に実行されるコードの署名を検証する説明ではありません。
POINT
- セキュアブートを見分ける手掛かりは、起動時のディジタル署名の検証です。
- パスワードによる利用者の確認やディスクのアクセス制限は、署名検証とは役割が違います。
- 対策が働くタイミングがOS起動前かどうかも確認します。