平成26年度春期 応用情報技術者試験 午前 問38
チャレンジレスポンス認証方式の特徴として，適切なものはどれか。
- ア SSLによって，クライアント側で固定パスワードを暗号化して送信する。
- イ 端末のシリアル番号を，クライアント側で秘密鍵を使って暗号化して送信する。
- ウ トークンという装置が表示する毎回異なったデータを，パスワードとして送信する。
- エ 利用者が入力したパスワードと，サーバから送られたランダムなデータとをクライアント側で演算し，その結果を送信する。
解答・解説を見る
正解：エ
AI解説
チャレンジレスポンス認証は、サーバが毎回異なるランダムなデータ(チャレンジ)を送り、クライアントがパスワードとチャレンジをハッシュ関数などで演算した結果(レスポンス)を返して認証する方式である。パスワードそのものがネットワークを流れないため、盗聴されてもパスワードは漏れず、チャレンジが毎回変わるため再送攻撃(リプレイ攻撃)にも強い。 ア: SSLで固定パスワードを暗号化して送る方式は、パスワード自体を送信しており、チャレンジレスポンス方式ではない。 イ: 端末のシリアル番号を秘密鍵で暗号化して送るのは機器認証的な方式であり、チャレンジ(サーバからの乱数)を用いていない。 ウ: トークンが毎回異なるデータを表示しそれをパスワードとして送るのは、時刻同期型のワンタイムパスワード方式の説明である。 エ: 正しい。サーバからのランダムデータと利用者のパスワードをクライアント側で演算し、その結果だけを送信するのがチャレンジレスポンス方式である。 💡 ポイントは「パスワードを直接送らない」「サーバ起点の乱数と演算する」の2点。トークン表示型(時刻同期)ワンタイムパスワードとの区別を問うひっかけが頻出である。
出典：平成26年度 春期 応用情報技術者試験 午前 問38 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。