令和元年度 秋期 応用情報技術者試験 午前 問38
テクノロジ／セキュリティチャレンジレスポンス認証方式に該当するものはどれか。
出典：令和元年度 秋期 応用情報技術者試験 午前 問38
- ア固定パスワードを TLS によって暗号化し，クライアントからサーバに送信する。
- イ端末のシリアル番号を，クライアントで秘密鍵を使って暗号化してサーバに送信する。
- ウトークンという装置が自動的に表示する，認証のたびに異なるデータをパスワードとしてサーバに送信する。
- エ利用者が入力したパスワードと，サーバから受け取ったランダムなデータとをクライアントで演算し，その結果をサーバに送信する。
正解：エ
解説
チャレンジレスポンス認証は，サーバが認証のたびに異なる乱数（チャレンジ）を送り，クライアントがパスワードとチャレンジから演算した結果（レスポンス）を返す方式です。パスワードそのものがネットワーク上を流れないため盗聴に強く，また毎回値が変わるので再送攻撃も防げます。
選択肢ごとの解説
- ア誤り。固定パスワードを TLS で暗号化して送る方式であり，チャレンジを用いていないのでチャレンジレスポンス認証ではありません。
- イ誤り。固定のシリアル番号を暗号化して送るだけで，毎回変化するチャレンジを使っていません。
- ウ誤り。トークンが時刻などから生成する使い捨てパスワードを送るのは，時刻同期方式のワンタイムパスワードの説明です。
- エ正しい。サーバから受け取ったランダムなデータとパスワードをクライアントで演算し，その結果を送るのがチャレンジレスポンス認証方式です。