最終更新日：2026年5月15日
sg sg-security-measures crypto_auth unauthorized_access it_security_operations
まず結論
- トランザクション署名は、送金先口座や金額などの取引内容にひもづけて署名値を作り、改ざんを検知する対策です。
- SG試験では、ログイン時の本人認証（OTPやクライアント証明書）と、送金時の取引内容保護（トランザクション署名）を切り分けることが重要です。
直感的な説明
インターネットバンキングで、利用者がPC画面で「A社へ10万円」と入力したとします。
MITBでは、送信直前にマルウェアが内容を「攻撃者口座へ50万円」に書き換えることがあります。
トランザクション署名は、このとき別デバイス側で取引内容を確認して署名値を作る考え方です。
- PC画面上の入力内容だけを信じない
- 別デバイスで取引情報を確認する
- その内容に対応した署名値を送る
このため、途中で内容がすり替わると、署名検証で不一致になり不正送金を止めやすくなります。
定義・仕組み
トランザクション署名（transaction signing）は、取引データ（振込先・金額・時刻など）に基づいて署名値を作り、サーバ側でその整合性を確認する方式です。
基本の流れは次のとおりです。
- 利用者が送金内容を入力する
- 別デバイスやトークンに、送金先口座・金額などを入力または表示確認する
- デバイスが取引内容に対応する署名値を生成する
- 署名値と取引要求をサーバへ送信する
- サーバが「取引内容」と「署名値」の対応を検証する
ポイントは、本人がログイン済みかどうかではなく、送る取引内容そのものが正しいかを確認することです。
SG試験の公式な出題範囲は、IPAの試験要綱でも確認できます。
情報セキュリティマネジメント試験の試験内容｜IPA
どんな場面で使う？
- インターネットバンキングの振込・送金
- 送金先口座変更など高リスク操作
- 送信内容の改ざんが重大事故につながる業務システム
SG試験では、次の見分け方が有効です。
- 「ログイン時に使う認証情報」の説明なら、MFAやOTPの論点
- 「送金内容に対応する値を計算して送る」の説明なら、トランザクション署名の論点
つまり、認証のタイミング（ログイン時か、取引確定時か）を見ると選択肢を切りやすくなります。
よくある誤解・混同
誤解1：ワンタイムパスワードを使えば、MITBによる不正送金を防げる
ワンタイムパスワードは、主にログイン時の本人確認を強化する方式です。
一方、MITBはログイン後の送信データ改ざんが中心です。
そのため、SG試験では「OTPを使っている」だけで、トランザクション署名の説明だと判断しないようにします。
誤解2：クライアント証明書認証があれば、取引内容改ざん対策として十分
クライアント証明書認証は、利用者端末や利用者の正当性確認の論点です。
取引内容（振込先・金額）の改ざん検知を直接担う説明ではありません。
「認証局が発行した証明書で本人確認する」は、トランザクション署名の定義ではなく、クライアント認証側の説明です。
誤解3：トークンを使っていれば、すべてトランザクション署名である
トークンは用途が複数あります。
- ログイン用OTPトークン
- 取引内容署名用トークン
SG試験では、トークンという単語ではなく、何に対して値を生成しているか（ログイン情報か、取引内容か）で判断します。
まとめ（試験直前用）
- トランザクション署名は、取引内容にひもづく署名値で改ざんを検知する対策。
- OTPやクライアント証明書は、主にログイン時の本人確認を強化する論点。
- MITBはログイン後の送信内容改ざんが本質なので、ログイン強化だけでは不十分な場合がある。
- SG試験では「何を守る方式か（本人確認か、取引内容保護か）」で切り分ける。