平成28年度 秋期 応用情報技術者 問38

正解 エ

サーバが毎回送るランダムなデータ（チャレンジ）とパスワードをクライアント側で演算し、その結果（レスポンス）だけを送るのがチャレンジレスポンス認証です。

チャレンジレスポンス認証では、サーバが認証のたびに異なるランダムなデータ（チャレンジ）をクライアントに送ります。クライアントは、利用者が入力したパスワードとチャレンジを演算（ハッシュ関数など）し、その結果（レスポンス）をサーバへ送ります。サーバも同じ演算をして結果を照合します。パスワードそのものはネットワークに流れません。チャレンジが毎回変わるので、盗聴したレスポンスを再送するリプレイ攻撃も防げます。

ア：TLSで通信路を暗号化して固定パスワードを送る方式です。パスワード自体を送っており、チャレンジを使った演算をしていません。

イ：秘密鍵で暗号化したデータを送り、公開鍵で検証する方式は、ディジタル署名の仕組みです。サーバからのチャレンジを使っていません。

ウ：トークンが表示する、毎回異なるパスワードを使う方式は、ワンタイムパスワードの時刻同期方式などです。サーバから送られたデータを演算する方式ではありません。

出典：平成28年度 秋期 応用情報技術者試験 問38