応用情報技術者試験 応用情報技術者試験 平成28年度秋期 午前 問38: チャレンジレスポンス認証方式の特徴はどれか。

正解

エ. 利用者が入力したパスワードと，サーバから送られたランダムなデータとをクライアント側で演算し，その結果を送信する。

正答率 75.9%（481人中 365人が正解）

問題の解説

チャレンジレスポンス認証では、サーバが認証のたびに生成したランダムなデータ (チャレンジ) をクライアントへ送り、クライアントは利用者が入力したパスワードとそのデータを演算 (ハッシュなど) した結果 (レスポンス) をサーバへ返す。パスワード自体は通信路に流れず、毎回の値が異なるので、盗聴した値の再利用 (リプレイ攻撃) にも強い。

選択肢ごとの解説

• アTLS で通信路を暗号化し、固定パスワードを暗号化して送る方式である。サーバが送るランダムなデータとの演算がなく、チャレンジレスポンスではない。
• イ端末のシリアル番号を秘密鍵で暗号化して送る方式は、ディジタル署名を使った端末認証に近い。サーバからのチャレンジを使うものではない。
• ウトークンが表示する、認証のたびに変わるデータをパスワードとして送る方式は、ワンタイムパスワード方式である。サーバから送られたデータとの演算は行わない。
• エ正しい。サーバから送られたランダムなデータとパスワードをクライアントで演算し、その結果だけを送信するのがチャレンジレスポンス認証である。