平成28年度秋期 応用情報技術者試験 午前 問38

正解：エ

AI解説

正解はエ。チャレンジレスポンス認証は、サーバが毎回異なるランダムなデータ(チャレンジ)をクライアントに送り、クライアントは利用者が入力したパスワードとチャレンジをハッシュ関数などで演算した結果(レスポンス)を返送し、サーバ側でも同じ演算をして照合する方式である。パスワードそのものがネットワークを流れず、チャレンジが毎回変わるため盗聴・リプレイ攻撃(再送攻撃)に強い。 ア: 誤り。TLSで固定パスワードを暗号化して送る方式は、経路上は保護されるがパスワード自体を送信しており、チャレンジレスポンス方式ではない。 イ: 誤り。端末のシリアル番号を秘密鍵で暗号化して送るのは機器認証的な方式の説明であり、チャレンジレスポンス認証の特徴ではない。 ウ: 誤り。トークンが自動的に表示する毎回異なるデータを送るのは、時刻同期方式のワンタイムパスワードの説明である。 エ: 正解。サーバからのランダムなチャレンジと利用者のパスワードをクライアント側で演算し、その結果だけを送信するのがチャレンジレスポンス方式である。 💡 「パスワードを直接送らない+サーバからの乱数と演算」がチャレンジレスポンスの核心。ウの時刻同期式ワンタイムパスワードとの区別(乱数をサーバから受け取るか、時刻から生成するか)が頻出のひっかけである。