応用情報技術者 2022年春期午前2 問38

問題文

チャレンジレスポンス認証方式に該当するものはどれか。

ア：固定パスワードを、TLS による暗号通信を使い、クライアントからサーバに送信して、サーバで検証する。

イ：端末のシリアル番号を、クライアントで秘密鍵を使って暗号化し、サーバに送信して、サーバで検証する。

ウ：トークンという機器が自動的に表示する、認証のたびに異なる数字列をパスワードとしてサーバに送信して、サーバで検証する。

エ：利用者が入力したパスワードと、サーバから受け取ったランダムなデータとをクライアントで演算し、その結果をサーバに送信して、サーバで検証する。（正解）

結論：チャレンジレスポンス認証方式は、サーバからのランダムな「チャレンジ」を利用者が受け取り、それに基づく応答（レスポンス）を送信して認証を行う方式です。
根拠：問題文のエは「サーバから受け取ったランダムなデータと利用者のパスワードをクライアントで演算し、その結果を送信する」とあり、チャレンジレスポンスの典型的な動作を示しています。
差がつくポイント：固定パスワードの送信や単純なトークン認証と異なり、チャレンジレスポンスは毎回異なるチャレンジを使うためリプレイ攻撃に強い点が重要です。

選択肢エは、サーバが送るランダムなチャレンジ（乱数）と利用者のパスワードをクライアント側で演算し、その結果をサーバに送信して認証する仕組みを説明しています。これはチャレンジレスポンス認証方式の基本的な特徴であり、リプレイ攻撃を防止するために毎回異なるチャレンジを用いる点が決定的です。

チャレンジレスポンス認証は単にパスワードを送る方式ではなく、毎回異なるチャレンジに対する応答を送るため、固定パスワードの送信とは異なります。トークン認証と混同しやすいですが、トークンは固定の数字列を生成するだけでチャレンジを使いません。

チャレンジレスポンス認証は、パスワードを直接送信しないため盗聴されても安全性が高い認証方式です。代表的な例として、ワンタイムパスワード（OTP）やKerberos認証プロトコルなどがあります。リプレイ攻撃対策として広く利用されています。

Q: チャレンジレスポンス認証はなぜ安全なのですか？
A: 毎回異なるチャレンジを使い、パスワードを直接送信しないため、盗聴やリプレイ攻撃に強いからです。

Q: トークン認証とチャレンジレスポンス認証の違いは？
A: トークン認証は固定または時間変化するパスワードを生成するだけで、サーバからのチャレンジを使わない点が異なります。

関連キーワード: チャレンジレスポンス認証、リプレイ攻撃対策、ワンタイムパスワード、認証方式、セキュリティ

\ せっかくなら /

応用情報技術者を
クイズ形式で学習しませんか？

すぐに利用可能！