平成26年度 春期 応用情報技術者 問38

正解 エ

チャレンジレスポンス認証では、サーバが送るランダムなデータ（チャレンジ）とパスワードをクライアント側で演算し、その結果（レスポンス）だけを送ります。

チャレンジレスポンス認証では、まずサーバが毎回異なるランダムなデータ（チャレンジ）をクライアントに送ります。クライアントは、利用者が入力したパスワードとチャレンジを使ってハッシュ関数などで演算し、その結果（レスポンス）を返します。サーバは、登録されたパスワードで同じ演算をし、結果が一致すれば認証します。パスワードそのものはネットワークを流れません。チャレンジが毎回変わるので、盗聴したレスポンスを再送するリプレイ攻撃にも強い方式です。出題時のSSLは、2015年にRFC 7568でSSL 3.0の使用が禁止され、現在はTLSが使われています。

ア：SSLで固定パスワードを暗号化して送る方式は、通信路を暗号化しているだけです。サーバからのチャレンジを使わないので、チャレンジレスポンス認証ではありません。

イ：端末のシリアル番号は毎回同じ値です。サーバからのランダムなデータを使わないので、チャレンジレスポンス認証ではありません。

ウ：トークンが表示する毎回異なるデータをパスワードとして送るのは、時刻同期式のワンタイムパスワード（タイムシンクロナス方式）です。サーバからのチャレンジは使いません。

出典：平成26年度 春期 応用情報技術者試験 問38