デジタルフォレンジックスでハッシュ値を使う目的とは
情報セキュリティマネジメント試験 2022年 サンプル問題 問10 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
デジタルフォレンジックスでハッシュ値を利用する目的として，適切なものはどれか。
- ア
一方向性関数によってパスワードを復元できないように変換して保存する。
- イ
改変されたデータを，証拠となり得るように復元する。
- ウ
証拠となり得るデータについて，原本と複製の同一性を証明する。
- エ
パスワードの盗聴の有無を検証する。
会話形式の解説
講師今回は、デジタルフォレンジックスでハッシュ値を何のために使うかを選ぶ問題です。デジタルフォレンジックスは、事故や不正の原因究明や法的な証拠のために、電子的な記録を集めて調べる活動のことです。
受験者ハッシュ値というと、パスワードを保存するときに使うイメージがあります。それで、パスワードを復元できないように変換して保存する選択肢が気になりました。
講師パスワードをハッシュ値に変換して保存する使い方は、実際にあります。漏えいしても元のパスワードを読み取られにくくなります。ただ、それは認証情報を保存するときの用途です。
受験者つまり、使い方としては正しくても、証拠を扱うフォレンジックスの目的ではないということですね。
講師そのとおりです。そこで、ハッシュ値の性質を確かめておきます。ハッシュ値は、データを決まった長さの値に変換したもので、そこから元のデータには戻せません。これを一方向性といいます。
受験者元に戻せないなら、改変されたデータを証拠として使えるように復元する選択肢も合わないように思います。
講師よい推論です。ハッシュ関数は元に戻せない変換なので、ハッシュ値から元のデータは作れません。改変や消失したデータを復元する手段にはならないので、その選択肢は不適切です。
受験者では、フォレンジックスでは何が大切なのでしょうか。
講師集めた証拠が途中で変わっていないことです。調べるときは原本を直接触らず複製を使うことが多いので、原本と複製が同じだと示す必要があります。
受験者そこでハッシュ値を使うのですね。原本と複製のハッシュ値を比べるということですか。
講師はい。両方のハッシュ値を求めて照合し、一致すれば、複製や保全の途中で変更がないと確認できます。一致しなければ、途中で変更が入った可能性があると分かります。
受験者残りの、パスワードの盗聴の有無を検証する選択肢はどうでしょうか。ハッシュ値で何か分かりそうな気もします。
講師ハッシュ値はデータが同じかどうかを比べる値です。盗聴は第三者が読み取る行為で、データ自体は変わりません。そのため、ハッシュ値を比べても盗聴は見つけられず、不適切です。
受験者整理すると、ハッシュ値は復元には使えず、変更がないかを確かめる道具です。だから正解は、証拠データの原本と複製の同一性を証明する選択肢ですね。
講師そのとおりです。ハッシュは改変を見つけるために使い、データを復元するためには使えない、と区別して覚えておくと迷いにくくなります。
まとめ
デジタルフォレンジックスでハッシュ値を使う目的は、証拠となり得るデータについて、原本と複製の同一性を証明することです。原本と複製のハッシュ値が一致すれば、複製や保全の途中で変更がないと確認でき、一致しなければ変更が入った可能性があると分かります。ハッシュ関数は一方向性の関数なので、改変されたデータの復元には使えません。パスワードのハッシュ化保存は認証情報を守る用途で、フォレンジックスの目的とは別物です。また、盗聴ではデータ自体が変わらないため、ハッシュ値を比べても盗聴の有無は検証できません。
解答・解説
正解はウです
この問題のテーマ
デジタルフォレンジックス（事故や不正の原因究明・法的証拠のために、電子的な記録を集めて調べる活動）で、ハッシュ値を何に使うかを問う問題です。
解き方の考え方
最初に、ハッシュ値の性質を確かめます。ハッシュ値は、データを決まった長さの値に変換したもので、そこから元のデータには戻せません。次に、フォレンジックスで大切なのは「集めた証拠が途中で変わっていないこと」だと押さえます。そのうえで、各選択肢の用途がフォレンジックスの目的に合っているか、ハッシュの性質で実現できるかを照らします。
選択肢ごとの解説
- ×ア 一方向性関数によってパスワードを復元できないように変換して保存する。アは、パスワードをハッシュ値に変換して保存する使い方を述べています。ハッシュ化しておけば、漏えいしても元のパスワードを読み取られにくくなります。しかし、この使い方は認証情報を保存するときの用途です。証拠を扱うフォレンジックスの目的ではないため、不適切です。
- ×イ 改変されたデータを，証拠となり得るように復元する。イは、改変されたデータをハッシュ値で復元すると述べています。一方、ハッシュ関数は一方向性の関数（元に戻せない変換）で、ハッシュ値から元のデータは作れません。そのため、改変や消失したデータを復元する手段にはならず、不適切です。
- ○ウ 証拠となり得るデータについて，原本と複製の同一性を証明する。ウは、証拠データの原本と複製が同じであることを示すと述べています。原本と複製のハッシュ値を求めて照合し、一致すれば、複製や保全の途中で変更がないと確認できます。したがって、ウが正解です。
- ×エ パスワードの盗聴の有無を検証する。エは、パスワードが盗聴されたかどうかを確かめると述べています。ハッシュ値は、データが同じかどうかを比べる値です。そのため、ハッシュ値だけで通信路での盗聴の有無を検証することはできず、不適切です。
POINT
- ハッシュ値は、データを固定長の値に変換したもので、元のデータに戻すことはできません。
- フォレンジックスでは、原本と複製のハッシュ値が一致することで、両者が同一だと示します。
- ハッシュは改変を「見つける」ために使うもので、データを「復元する」ためには使えません。
- パスワードのハッシュ化保存は認証情報を守る用途で、フォレンジックスの目的とは区別します。