令和4年度 春期 応用情報技術者 問38

正解 エ

サーバが送るランダムなデータ（チャレンジ）とパスワードをクライアントで演算し、その結果（レスポンス）を返すのがチャレンジレスポンス認証です。

チャレンジレスポンス認証では、サーバが認証のたびにランダムなデータ（チャレンジ）をクライアントに送ります。クライアントはチャレンジとパスワードをハッシュ関数などで演算し、結果（レスポンス）をサーバに返します。サーバも同じ演算をして結果を照合します。パスワードそのものはネットワークに流れません。チャレンジが毎回変わるので、盗聴したレスポンスを再利用されることもありません。決め手は「サーバから受け取ったランダムなデータ」と「クライアントで演算」の2つです。

ア：固定パスワードをTLSで暗号化して送る方式です。通信路を暗号化しているだけで、サーバからのチャレンジを使っていません。

イ：秘密鍵で暗号化して送る方式ですが、送るのは毎回同じシリアル番号です。サーバからのランダムなチャレンジを使っていないので、チャレンジレスポンス認証ではありません。

ウ：トークンが表示する、毎回異なる数字列を使うのはワンタイムパスワード方式（時刻同期方式など）です。サーバからチャレンジを受け取っていません。

出典：令和4年度 春期 応用情報技術者試験 問38