ITパスポート 2017年 春期 問94

利用者が、トークンと呼ばれる装置などで生成した毎回異なる情報を用いて、認証を受ける認証方式を何というか。【ITパスポート 解説】

正解の理由

• TOTP（Time-based One-Time Password：時間で変わるOTP）— 一定時間ごとにコードが更新される。
• HOTP（HMAC-based One-Time Password：イベントで変わるOTP）— ボタンを押すなどの操作でコードが更新される。

解法ステップ

1. 問題文のキーワードを拾う：「トークン」「毎回異なる情報」。
2. 「毎回異なる＝使い捨てのパスワード」を連想する。
3. 選択肢を定義で照合する：
   • ワンタイムパスワード（OTP）は「毎回異なる使い捨てパスワード」なので該当。
4. よって選択肢のエを選ぶ。

選択肢別の誤答解説

• ア: ディジタル署名
  ディジタル署名は電子文書の改ざん検出や送信者の本人証明（否認防止）に使う技術です。署名はメッセージに対して計算され、認証用に「毎回異なるトークンで生成する使い捨てのコード」を指すものではありません。
• イ: パスワードクラッキング
  パスワードクラッキングは「パスワードを破る（不正に解読する）行為」を指す言葉です。認証方式そのものではなく攻撃手法なので該当しません。
• ウ: パスワードポリシー
  パスワードポリシーは「パスワードの作り方や管理ルール」のこと（例：長さ、文字種、変更頻度）。毎回変わるトークン生成とは用途が違います。
• エ: ワンタイムパスワード
  ワンタイムパスワードは「一度しか使えないパスワード」で、トークンで生成した毎回異なる情報を用いる認証にぴったり合致します。よって正解です。

よくある誤解

1. 「ワンタイムパスワードだからパスワードは不要」
   誤解です。OTPは単独で使われることもありますが、多くは通常のパスワードと組み合わせて二要素認証（多要素認証）として使われます。OTPは「その場限りの追加要素」と考えるのが正しいです。
2. 「トークン＝必ずハードウェア」
   トークンにはハードウェアトークン（物理デバイス）とソフトウェアトークン（スマホアプリ）があり、どちらもトークンと呼びます。スマホの認証アプリもトークンの一種です。
3. 「OTPは完全に安全」
   OTPはリプレイ攻撃を防ぎやすいですが、SMSで送るOTPはSIMスワップ（携帯番号の乗っ取り）などで危険になる場合があります。より安全にするには認証アプリやハードウェアトークン、通信の暗号化を組み合わせます。

補足コラム

• よく使われる標準：TOTP（RFC 6238）やHOTP（RFC 4226）は広く使われています。TOTPは時間同期を利用するため、スマホとサーバの時計が大きくずれていると失敗することがあります。
• 実例：Google Authenticator や Microsoft Authenticator は TOTP の仕組みを使うソフトウェアトークンです。銀行では専用ハードウェアトークンを配布することもあります。
• 用語のおぼえ方：OTP = One-Time（1回だけ）Password（パスワード）。「一度限り」である点を意識すると覚えやすいです。

FAQ