応用情報技術者試験 応用情報技術者試験 令和4年度春期 午前 問38: チャレンジレスポンス認証方式に該当するものはどれか。

正解

エ. 利用者が入力したパスワードと，サーバから受け取ったランダムなデータとをクライアントで演算し，その結果をサーバに送信して，サーバで検証する。

正答率 59.0%（497人中 293人が正解）

問題の解説

チャレンジレスポンス認証は、サーバが毎回異なるランダムな値（チャレンジ）をクライアントへ送り、クライアントがそれと利用者の秘密（パスワード）を演算した結果（レスポンス）を返し、サーバが同じ演算の結果と照合する方式である。パスワードそのものが通信路に流れず、傍受されても再利用しにくい。

選択肢ごとの解説

• ア固定パスワードをTLSで暗号化して送る方式で、パスワードそのものを送っている。サーバからのチャレンジを使わないので、チャレンジレスポンスではない。
• イ固定のシリアル番号を秘密鍵で暗号化して送る方式である。サーバからのランダムな値を使わず、通信を盗まれると同じ内容を再利用されるおそれがある。
• ウトークンが表示する、認証のたびに変わる数字列を使う、ワンタイムパスワード方式である。サーバから受け取った値を演算して返すわけではない。
• エ正しい。サーバから受け取ったランダムな値とパスワードをクライアントで演算し、その結果を返して検証される。