平成29年度 秋期 情報セキュリティマネジメント試験 午前 問18
テクノロジ／セキュリティパスワードを用いて利用者を認証する方法のうち，適切なものはどれか。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問18
- アパスワードに対応する利用者IDのハッシュ値を登録しておき，認証時に入力されたパスワードをハッシュ関数で変換して比較する。
- イパスワードに対応する利用者IDのハッシュ値を登録しておき，認証時に入力された利用者IDをハッシュ関数で変換して比較する。
- ウパスワードをハッシュ値に変換して登録しておき，認証時に入力されたパスワードをハッシュ関数で変換して比較する。
- エパスワードをハッシュ値に変換して登録しておき，認証時に入力された利用者IDをハッシュ関数で変換して比較する。
正解：ウ
解説
パスワード認証では、認証サーバ側にパスワードそのものではなくハッシュ関数で変換したハッシュ値を登録しておき、認証時に入力されたパスワードを同じハッシュ関数で変換した値と比較する方式が適切です。これにより、サーバ内に平文パスワードを保持せずに済みます。
選択肢ごとの解説
- ア誤り。登録・比較するのは利用者IDのハッシュ値ではなく、パスワードのハッシュ値です。
- イ誤り。登録するのは利用者IDのハッシュ値ではなく、また比較対象も入力されたパスワードのハッシュ値であるべきです。
- ウ正しい。パスワードをハッシュ値に変換して登録し、認証時にも入力パスワードをハッシュ化して比較します。
- エ誤り。比較するのは入力された利用者IDではなく、入力されたパスワードのハッシュ値です。