令和元年度 秋期 応用情報技術者 問38

正解 エ

サーバが送るランダムなデータ（チャレンジ）とパスワードをクライアントで演算し、その結果（レスポンス）を返すのがチャレンジレスポンス認証です。

チャレンジレスポンス認証では、まずサーバが認証のたびに異なるランダムなデータ（チャレンジ）をクライアントに送ります。クライアントは、利用者が入力したパスワードとチャレンジを演算します。演算にはハッシュ関数などを使います。クライアントは、その結果（レスポンス）をサーバに送ります。サーバは同じ演算をして結果を照合します。パスワードそのものはネットワークに流れません。チャレンジが毎回変わるので、盗聴したレスポンスを使ったリプレイ攻撃にも強い方式です。決め手は、選択肢の「サーバから受け取ったランダムなデータ」と「クライアントで演算」という語句です。

ア：固定パスワードをTLSで暗号化して送る方式です。サーバからのチャレンジを使っていません。

イ：秘密鍵で暗号化した固定の情報を送るだけです。サーバからのチャレンジを使わないので、チャレンジレスポンス認証ではありません。

ウ：トークンが表示する、毎回異なるパスワードを使う方式は、ワンタイムパスワードのタイムシンクロナス方式です。

出典：令和元年度 秋期 応用情報技術者試験 問38