令和元年度秋期 応用情報技術者試験 午前 問38

正解：エ

AI解説

チャレンジレスポンス認証は、サーバが毎回異なるランダムなデータ（チャレンジ）をクライアントに送り、クライアントがパスワードとそのチャレンジを演算した結果（レスポンス）を返すことで、パスワード自体を通信路に流さずに認証する方式である。 ア: 固定パスワードをTLSで暗号化して送るのは単なる暗号化通信であり、チャレンジレスポンス方式ではない。 イ: 端末のシリアル番号を秘密鍵で暗号化して送る方式は、サーバ側からのチャレンジを使わない別の認証方式である。 ウ: トークンが自動生成する使い捨てパスワードを送る方式はワンタイムパスワード（時刻同期方式など）であり、サーバからのチャレンジを使わない点でチャレンジレスポンスとは異なる。 エ: 正しい。サーバから受け取ったランダムなデータとパスワードをクライアントで演算し、その結果を送るのがチャレンジレスポンス認証の定義である。 💡 「サーバが乱数（チャレンジ）を出す」「クライアントが演算結果（レスポンス）を返す」という往復のやり取りがあるかどうかが見分けるポイントである。