ITパスポート 2014年 秋期 問51

認証方式の乱数表（座標指定）に関する問題【ITパスポート 解説】

正解の理由

• 乱数表（らんすうひょう）：ランダムな数字を並べた表。紙やカードに印刷されることが多いです。
• 認証（にんしょう）：相手が本当にその人であるか確認すること。
• チャレンジ（challenge）：認証側が出す問い（ここでは座標）。
• レスポンス（response）：利用者が答える値（ここでは座標にある数字）。
• ワンタイムパスワード（OTP: One-Time Password）：一度しか使えないパスワードのこと。乱数表方式は「使い捨て」の性質を持ちます。

解法ステップ

1. システムが要求した座標を確認する（例：B1, C2, D3, E4）。
2. 利用者が自分の乱数表で、それぞれの座標に書かれた数字を読む。
   • B1 = 24、C2 = 64、D3 = 41、E4 = 31
3. 指定された順に数を連結してパスワードとする。
   • 24 || 64 || 41 || 31 = 24644131
4. このパスワードが正しければ認証成功となる。

選択肢別の誤答解説

• ア: システムが要求する乱数表の座標位置が同じでも、パスワードは毎回異なる。
  → 誤り。乱数表の値自体は固定（印刷物）なので、同じ座標が要求された場合は同じ数字になります。座標が毎回変わるためパスワードは通常毎回変わりますが、「座標が同じならパスワードも同じ」である点を見落とすと間違えます。
• イ: 知識による認証の一種である。
  → 誤り。「知識による認証」はパスワードや暗証番号のように「利用者が知っている情報（something you know）」に依存する方式です。乱数表方式は物理的に持っている表（something you have）に依存する要素が強く、システム側のチャレンジに対して表の該当値を答える「所持＋応答」の方式です。よって純粋な知識認証とは言えません。
• ウ: 盗聴したパスワード利用による、なりすましの防止に有効である。
  → 正しい。チャレンジ（座標）が毎回変わるため、過去に盗聴した応答（パスワード）を再利用しても別のチャレンジには対応できず、認証は通りません。
• エ: 乱数表を他人に渡しても安全である。
  → 誤り。乱数表自体を他人に渡してしまうと、その人は正しい数字を答えられるため認証を不正に通過できます。乱数表は「秘密に保管する」必要があります。

よくある誤解

1. 「盗聴されても絶対に安全」ではない
   • 単発の盗聴（過去の応答を記録される）に対しては安全性が高いですが、乱数表そのものを盗まれたりコピーされた場合は危険です。また、同時にチャレンジが分かる状態での中間者攻撃（MITM：通信を仲介してリアルタイムでやり取りを傍受・改変する攻撃）には弱い場合があります。
2. 「これは完全に知識認証」だと思い込むミス
   • 乱数表は「持っていること（所持）」が重要です。パスワードのように頭で覚えるだけの方式とは性質が異なります。
3. 「座標が毎回違う＝表の同じ場所の数字も変わる」と誤認
   • 座標がランダムに指定されるだけで、表の内容は変わりません。つまり同じ座標が出れば同じ数字が返ってきます。

補足コラム

• 時刻同期型ワンタイムパスワード（TOTP: Time-based One-Time Password）
  → サーバと端末が時間を共有し、一定時間ごとに変わるコードを生成します。スマホアプリ（Authenticator）で一般的です。
• HMACベースのワンタイムパスワード（HOTP）
  → 生成カウンタに基づいて変わるコードを使う方式。

FAQ