応用情報技術者試験 応用情報技術者試験 令和元年度秋期 午前 問38: チャレンジレスポンス認証方式に該当するものはどれか。

正解

エ. 利用者が入力したパスワードと，サーバから受け取ったランダムなデータとをクライアントで演算し，その結果をサーバに送信する。

正答率 49.0%（647人中 317人が正解）

問題の解説

チャレンジレスポンス認証は、サーバが毎回異なる乱数（チャレンジ）をクライアントに送り、クライアントがパスワードなどの秘密情報とチャレンジから計算した値（レスポンス）を返す方式である。パスワード自体は通信路に流れず、毎回値が変わるので、盗聴した値を再利用する攻撃を防げる。

選択肢ごとの解説

• ア固定パスワードを TLS で暗号化して送る方式で、サーバからのチャレンジを使わない。通常のパスワード認証を暗号化通信に載せたものである。
• イ端末のシリアル番号という固定の情報を秘密鍵で暗号化して送るもので、サーバが毎回出すチャレンジに基づかない。
• ウトークンが自動表示する、認証のたびに変わる値を送る方式は、ワンタイムパスワード方式であり、サーバからのチャレンジを使うものではない。
• エ正しい。サーバから受け取ったランダムなデータと利用者のパスワードをクライアントで演算してその結果を返すので、チャレンジレスポンス方式である。