情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和元年度秋期 午前Ⅰ 問13: チャレンジレスポンス認証方式に該当するものはどれか。

正解

エ. 利用者が入力したパスワードと，サーバから受け取ったランダムなデータとをクライアントで演算し，その結果をサーバに送信する。

問題の解説

チャレンジレスポンス認証は、サーバが送る毎回異なる乱数(チャレンジ)とパスワードをクライアント側で演算し、その結果(レスポンス)を返す方式。パスワード自体は流れず、盗聴・リプレイ攻撃に強い。よってエが正解。アは固定パスワードの暗号送信、イは電子署名的な処理、ウはワンタイムパスワードトークンで、チャレンジ(乱数)の往復という核心を満たさない。

選択肢ごとの解説

• ア固定パスワードをTLSで暗号化して送るだけで、チャレンジ(乱数)を用いず誤り。
• イシリアル番号を秘密鍵で暗号化する処理で、サーバ発のチャレンジを使わずチャレンジレスポンスではなく誤り。
• ウ毎回異なる値を表示するトークンはワンタイムパスワード方式で、サーバとの乱数往復がなく誤り。
• エサーバの乱数とパスワードを演算し結果を返す点がチャレンジレスポンス認証の正しい説明で正解。