IPA過去問ドリル

平成24年度 春期 応用情報技術者試験 午前 問39

テクノロジ／セキュリティ

手順に示すクライアントとサーバの処理と通信で可能になることはどれか。 〔手順〕 (1) サーバはクライアントから要求があるたびに異なる予測困難な値（チャレンジ）を生成して保持するとともに，クライアントへ送る。 (2) クライアントは利用者が入力したパスワードのメッセージダイジェストを計算し，(1)でサーバから送られた"チャレンジ"と合わせたものから，さらに，メッセージダイジェスト（レスポンス）を計算する。この"レスポンス"と利用者が入力した利用者IDをサーバに送る。 (3) サーバは，クライアントから受け取った利用者IDで利用者情報を検索して，取り出したパスワードのメッセージダイジェストと(1)で保持していた"チャレンジ"を合わせたものから，メッセージダイジェストを計算する（レスポンス照合データ）。この"レスポンス照合データ"とクライアントから受け取った"レスポンス"とを比較する。

出典：平成24年度 春期 応用情報技術者試験 午前 問39

正解：ウ

解説

この手順はチャレンジレスポンス認証方式です。サーバが毎回異なるチャレンジを送り，クライアントはパスワードとチャレンジを合わせたダイジェストをレスポンスとして送るため，パスワード自体はネットワーク上を流れず漏えいを防止でき，チャレンジが要求のたびに変わるため過去の通信を再利用するリプレイ攻撃も防げます。

選択肢ごとの解説

  • ア誤り。この手順はビット誤りの訂正を目的としたものではなく，認証の安全性向上を目的としています。
  • イ誤り。利用者IDのビット誤り訂正も本手順の目的ではありません。
  • ウ正しい。チャレンジレスポンス方式により，パスワードの漏えい防止とリプレイ攻撃の防御が可能になります。
  • エ誤り。手順で保護されるのはパスワードであり，利用者ID自体は平文でサーバに送られるため，利用者IDの漏えい防止が目的ではありません。
応用情報技術者の過去問を演習モードで解く