令和6年度 春期 情報処理安全確保支援士試験 午後 問題 問4 セキュアプログラミングとOS権限設計

注1) A社では，扱う情報を“重要情報”と“その他の情報”に分類している。
注2) システム稼働時に出力され，システム障害の際に，システム開発者が障害原因調査のために確認するファイルである。
注3) chmodコマンドの絶対モードでLinuxのパーミッションを設定する。

注記 root, operation, personal, develop という所属グループは各サーバに定義されている。
注1) 業務システムと Web 受注システムがデータ連携を行うための機能である。

注記 Web 受注システムでは、OS アカウントの権限を所属グループ単位で管理する。

・注文テーブルの連携済フラグ 1) が0である注文データを，CSVファイルとして平文で /var/data ディレクトリに出力する。なお，/var/data ディレクトリのオーナーは batchappuser で，パーミッションは 770 2) とする。CSVファイルのオーナーは batchappuser で，パーミッションは 660 2) とする。
・注文テーブルの内容は，次のとおりである。
注文ID 3)，注文番号，注文ユーザーID，注文日時，決済金額，銀行コード，銀行支店コード，預金種別，銀行口座番号，銀行口座氏名，注文ステータス，お届け先郵便番号，お届け先住所，お届け先電話番号，お届け先氏名，送り主郵便番号，送り主住所，送り主電話番号，送り主氏名，連携済フラグ

注1) “0”はCSVファイル出力前であることを，“1”はCSVファイル出力後であることを示す。
注2) chmod コマンドの絶対モードで Linux のパーミッションを設定する。
注3) 主キーである。

・addUser メソッドは，データをユーザーマスターテーブルに挿入する。
・各インスタンス変数は，ユーザーマスターテーブルの各レコードに対応し，画面から入力された値を String 型で保持する。
・ユーザーマスターテーブルの列名は，次のとおりである。
　ユーザーOID 1), ユーザーID, パスワード 2), 氏名, 郵便番号, 住所, 電話番号, メールアドレス, 作成日時, 更新日時

注1) 主キーである。オブジェクト ID であり，データを一意に識別する文字列が格納される。
注2) パスワードのハッシュ値が格納される。

（省略） //package 宣言，import 宣言など
1: public UserData(HttpServletRequest request) {
2:   this.userId = request.getParameter("userId");
3:   this.password = request.getParameter("password");
  （省略） //入力値チェックなど
4:   try {
5:     MessageDigest mdObj = MessageDigest.getInstance("SHA-1");
6:     byte[] hashByte = mdObj.digest(this.password.getBytes());
7:     this.password = String.format("%x", new BigInteger(1, hashByte));
8:   } catch (NoSuchAlgorithmException e) {
9:     log.debug("error:" + e);
10:  }
  （省略）
11: }
  //引数 conn は DB コネクションオブジェクトを示す。
12: public void addUser(Connection conn) {
13:   PreparedStatement psObj;
14:   String sql = "INSERT INTO USER_MASTER" +
15:                "(USER_OID, USER_ID, PASSWORD, USER_NAME, ZIP_CODE" +
                   （省略）;
16:   try {
17:     psObj = conn.prepareStatement(sql);
18:     psObj.setString(1, this.userOid);
19:     psObj.setString(2, this.userId);
20:     psObj.setString(3, this.password);
    （省略）
    //次の 2 行はデバッグログの出力
21:     System.out.println("SQL:" + sql);
22:     System.out.println("InsertData:" + this.toString());
    //次の 2 行はログサーバへの AP ログの出力
23:     log.debug("SQL:" + sql);
24:     log.debug("InsertData:" + this.toString());
25:     psObj.execute();
26:     conn.commit();
27:   } catch (SQLException e) {
    （省略） //例外処理
28:   }
  （省略）
29: }
  （省略）

注記: log.debug()は、引数の文字列をログサーバに送信するメソッドである。

(省略) //package 宣言, import 宣言など
1: public UserData(HttpServletRequest request) {
2:   this.userId = request.getParameter("userId");
3:   this.password = request.getParameter("password");
     (省略) //入力値チェックなど
4:   try {
5:     MessageDigest mdObj = MessageDigest.getInstance("<span id="q4_blank_f" class="blank-label">f</span>");
6:     byte[] hashByte = mdObj.digest(this.password.getBytes());
7:     this.password = String.format("%x", new BigInteger(1, hashByte));
8:   } catch (NoSuchAlgorithmException e) {
9:     log.debug("error:" + e);
       //回復不能な例外発生
10:    <span id="q4_blank_g" class="blank-label">g</span>;
11:  }
     (省略)
12: }
    //引数conn は DB コネクションオブジェクトを示す。
13: public void addUser(Connection conn) {
14:   PreparedStatement psObj = null;
15:   String sql = "INSERT INTO USER_MASTER" +
16:                "(USER_OID, USER_ID, PASSWORD, USER_NAME, ZIP_CODE" +
                   (省略);

17:   try {
18:     psObj = conn.prepareStatement(sql);
19:     psObj.setString(1, this.userOid);
20:     psObj.setString(2, this.userId);
21:     psObj.setString(3, this.password);
        (省略)
22:     UserData userMaskDataObj = this.maskUserData(this);
        //次の 2 行はログサーバへの AP ログの出力
23:     log.debug("SQL:" + sql);
24:     log.debug("InsertData:" + userMaskDataObj.toString());
25:     psObj.execute();
26:     conn.commit();
27:   } catch (SQLException e) {
        (省略) //例外処理
28:   } <span id="q4_blank_h" class="blank-label">h</span> {
29:     if (psObj != null) {
30:       try {
31:         psObj.close();
32:       } catch (SQLException e) {
          (省略) //例外処理
33:       }
34:     }
35:   }
      (省略)
36: }
37: private UserData maskUserData(UserData inUserData) {
      (省略) //UserData 内の重要情報を含む変数の値を * に置換する。
38:   return userMaskDataObj;
39: }
    (省略)