令和4年度 春期 応用情報技術者試験 午前 問38
テクノロジ／セキュリティチャレンジレスポンス認証方式に該当するものはどれか。
出典：令和4年度 春期 応用情報技術者試験 午前 問38
- ア固定パスワードを，TLS による暗号通信を使い，クライアントからサーバに送信して，サーバで検証する。
- イ端末のシリアル番号を，クライアントで秘密鍵を使って暗号化し，サーバに送信して，サーバで検証する。
- ウトークンという機器が自動的に表示する，認証のたびに異なる数字列をパスワードとしてサーバに送信して，サーバで検証する。
- エ利用者が入力したパスワードと，サーバから受け取ったランダムなデータとをクライアントで演算し，その結果をサーバに送信して，サーバで検証する。
正解：エ
解説
チャレンジレスポンス認証は，サーバが送るランダムなデータ（チャレンジ）と利用者のパスワードをクライアント側で演算し，その結果（レスポンス）だけをサーバに送って検証する方式です。パスワードそのものがネットワークを流れないため，盗聴に強いのが特徴です。
選択肢ごとの解説
- ア誤り。TLS で暗号化しても固定パスワード自体を送信しており，チャレンジレスポンス方式ではありません。
- イ誤り。シリアル番号を暗号化して送る方式であり，サーバからのチャレンジを用いる方式ではありません。
- ウ誤り。トークンが表示するワンタイムパスワードを送信する方式（時刻同期方式など）の説明です。
- エ正しい。サーバから受け取ったランダムデータとパスワードをクライアントで演算して結果を送るのがチャレンジレスポンス方式です。