情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

令和2年10月 午後1問1 設問1(2)について質問させてください。

解答「HMAC値αとHMAC値βの一致を確認する」という点は理解できましたが、
図3の「QRコード検証」項番1の作業は、決済アプリ/WebサーバN どちらが行っているのでしょうか。

いくつかのサイトを拝見したところ、図3「WebサーバNがもつ秘密鍵K」はWebサーバしか持ち得ないので、QRコード検証項番1の作業もWebサーバNが実施している
という見解が多かったのですが、

ある参考書では「秘密鍵Kとは、WebサーバNと決済アプリが共通してもつ共通鍵である。図3 項番1を行っているのは決済アプリである」という解説がありました。

色々調べましたが行き詰まってしまい、解説いただけますと幸いです。

WebサーバNでよろしいと思われます。
決済アプリはHMACを生成する必要がないため、秘密鍵Kを持つ必要は
ありません。

もしかして、解説が記載されていた参考書とはG社出版E社著の過去問題集
でしょうか？
この問題集はIPAから解答が公表される前から編集を始めるため、解説に
誤りが多いという噂を聞きます。

ご回答ありがとうございます！やはりWebサーバNですよね。
たしかに決済アプリ側ではHMACを生成する必要がない旨、分かりやすいです。

解説が書かれていたのは、T◯Cの通信講座の「本試験問題集」という冊子です。