応用情報技術者 2019年秋期午前2 問38

問題文

チャレンジレスポンス認証方式に該当するものはどれか。

選択肢

ア：固定パスワードを TLS によって暗号化し、クライアントからサーバに送信する。

イ：端末のシリアル番号を、クライアントで秘密鍵を使って暗号化してサーバに送信する。

ウ：トークンという装置が自動的に表示する、認証のたびに異なるデータをパスワードとしてサーバに送信する。

エ：利用者が入力したパスワードと、サーバから受け取ったランダムなデータとをクライアントで演算し、その結果をサーバに送信する。（正解）

チャレンジレスポンス認証方式に該当するものはどれか【午前2 解説】

要点まとめ

結論：チャレンジレスポンス認証方式は、サーバからのランダムな「チャレンジ」を受け取り、利用者の秘密情報と組み合わせて応答（レスポンス）を生成し送信する方式です。
根拠：この方式は固定パスワードの送信を避け、なりすましやリプレイ攻撃を防止するために用いられます。
差がつくポイント：チャレンジとレスポンスの関係性を理解し、単にパスワードを送る方式やトークンのワンタイムパスワードとは異なる点を押さえることが重要です。

正解の理由

選択肢エは「利用者が入力したパスワードとサーバから受け取ったランダムなデータ（チャレンジ）をクライアント側で演算し、その結果をサーバに送信する」と記述されています。これはまさにチャレンジレスポンス認証の定義に合致します。サーバが送るチャレンジに対して、利用者の秘密情報を使って応答を生成するため、固定パスワードを直接送信せず安全性が高いです。

よくある誤解

チャレンジレスポンス認証は「ワンタイムパスワード」と混同されやすいですが、チャレンジに応じて計算される点が異なります。単にトークンが表示するパスワードを送る方式とは異なります。

解法ステップ

問題文の「チャレンジレスポンス認証方式」の意味を確認する。
「チャレンジ」とはサーバが送るランダムな値であることを理解する。
各選択肢がチャレンジを受け取り、それに応じて応答を生成しているかを検証する。
固定パスワードの送信や単なるトークンのワンタイムパスワードは除外する。
最もチャレンジレスポンスの定義に合致する選択肢を選ぶ。

選択肢別の誤答解説

ア: 固定パスワードをTLSで暗号化して送る方式であり、チャレンジレスポンスではない。
イ: 端末のシリアル番号を秘密鍵で暗号化して送るが、チャレンジを受けて応答を生成していない。
ウ: トークンが自動表示するワンタイムパスワードを送る方式で、チャレンジレスポンスとは異なる。
エ: チャレンジを受けてパスワードと演算し応答を返すため正解。

補足コラム

チャレンジレスポンス認証は、パスワードを直接送信しないため、盗聴やリプレイ攻撃に強い認証方式です。代表的な例に「CHAP（Challenge Handshake Authentication Protocol）」があります。これに対し、ワンタイムパスワードはトークンやスマホアプリで生成される使い捨てパスワードで、チャレンジレスポンスとは仕組みが異なります。