応用情報技術者 2014年春期午前2 問38

問題文

チャレンジレスポンス認証方式の特徴として、適切なものはどれか。

選択肢

ア：SSLによって、クライアント側で固定パスワードを暗号化して送信する。

イ：端末のシリアル番号を、クライアント側で秘密鍵を使って暗号化して送信する。

ウ：トークンという装置が表示する毎回異なったデータを、パスワードとして送信する。

エ：利用者が入力したパスワードと、サーバから送られたランダムなデータとをクライアント側で演算し、その結果を送信する。（正解）

チャレンジレスポンス認証方式の特徴 +【午前2 解説】

要点まとめ

結論：チャレンジレスポンス認証方式は、サーバから送られたランダムなデータ（チャレンジ）と利用者のパスワードをクライアント側で演算し、その結果を送信する方式です。
根拠：この方式はパスワードを直接送信せず、毎回異なる応答を返すため、盗聴やリプレイ攻撃に強い特徴があります。
差がつくポイント：固定パスワードの送信や単純な暗号化ではなく、チャレンジとレスポンスの組み合わせによる動的認証である点を理解することが重要です。

正解の理由

選択肢エは、チャレンジレスポンス認証方式の本質を正確に表しています。サーバが送るランダムなチャレンジ値と利用者のパスワードをクライアント側で演算し、その結果をサーバに返すことで認証を行います。これにより、パスワード自体をネットワーク上に送信しないため、盗聴されてもパスワードが漏洩しません。

よくある誤解

チャレンジレスポンス認証は単にパスワードを暗号化して送る方式ではありません。固定パスワードの送信やトークンの利用とは異なり、毎回異なる応答を生成する点が特徴です。

解法ステップ

問題文の「チャレンジレスポンス認証方式」の意味を確認する。
各選択肢の認証方式の特徴を整理する。
「チャレンジ（ランダムデータ）」と「レスポンス（演算結果）」の関係を理解する。
パスワードを直接送信しない方式を選ぶ。
選択肢エがチャレンジレスポンスの定義に合致することを確認する。

選択肢別の誤答解説

ア: SSLは通信の暗号化技術であり、チャレンジレスポンス認証方式の説明ではありません。固定パスワードを暗号化して送るだけでは安全性が劣ります。
イ: 端末のシリアル番号を秘密鍵で暗号化する方式はチャレンジレスポンスとは異なり、認証の基本的な流れを示していません。
ウ: トークンが毎回異なるデータを表示するのはワンタイムパスワード（OTP）方式であり、チャレンジレスポンスとは別の認証方式です。
エ: サーバからのランダムなチャレンジと利用者のパスワードをクライアント側で演算し、その結果を送信する方式であり、チャレンジレスポンス認証の正しい説明です。

補足コラム

チャレンジレスポンス認証は、パスワードの盗聴やリプレイ攻撃を防ぐために広く使われています。代表的なプロトコルにはCHAP（Challenge Handshake Authentication Protocol）があり、PPP接続などで利用されます。また、ワンタイムパスワード（OTP）や多要素認証と組み合わせることで、さらに強固な認証が可能です。