令和6年度 秋期 情報処理安全確保支援士 午前II 問16

各選択肢の解説

ア

Web サービスCが、アクセストークンを発行する。

正しいです。OAuth 2.0（RFC 6749）では、リソースオーナーである利用者Aが同意すると、認可サーバがクライアントにアクセストークンを発行します。この問題では認可サーバを兼ねるWebサービスCが、クライアントであるWebサービスDにトークンを発行します。Dはそのトークンを提示してリソースBにアクセスし、許可されたスコープの範囲に限って操作できます。

イ

Web サービスCが、利用者Aのデジタル証明書を Web サービスDに送信する。

誤りです。OAuth 2.0で権限を委譲するときにクライアントへ渡すのは、スコープと有効期限で権限を絞ったアクセストークンです。利用者Aのデジタル証明書ではありません。証明書は本人の公開鍵を証明するもので、特定リソースへの限定アクセスという権限は表現できません。また、WebサービスCがそれを第三者のDへ送る手順もOAuthにはありません。

ウ

Web サービスDが、アクセストークンを発行する。

誤りです。WebサービスDは、リソースBへのアクセスを求めるクライアントの立場です。アクセストークンを発行するのは認可サーバで、この問題では兼任しているWebサービスCです。クライアントが自分でトークンを発行できるなら、利用者Aの認可も認可サーバの検証も経ずにアクセス権を作り出せてしまいます。

エ

Web サービスDが、利用者Aのデジタル証明書を Web サービスCに送信する。

誤りです。OAuth 2.0では、クライアントのWebサービスDが利用者Aのデジタル証明書を持つことも、それをWebサービスCへ送ることもありません。Dは認可コードなどと自分のクライアント認証情報を認可サーバCへ送ってアクセストークンを受け取り、そのトークンでリソースにアクセスします。利用者Aの資格情報をクライアントに渡さずに済むことが、OAuthの目的の一つです。