ネットワークスペシャリスト 2009年午前2 問18

問題文

チャレンジレスポンス方式として、適切なものはどれか。

選択肢

ア：SSLによって、クライアント側で固定パスワードを暗号化して送信する。

イ：トークンという装置が表示する毎回異なったデータをパスワードとして送信する。

ウ：任意長のデータを入力として固定長のハッシュ値を出力する。

エ：利用者が入力したパスワードと、サーバから送られたランダムなデータとをクライアント側で演算し、その結果を認証用データに用いる。（正解）

チャレンジレスポンス方式として、適切なものはどれか。【午前2 解説】

要点まとめ

結論：チャレンジレスポンス方式は、サーバからのランダムな「チャレンジ」と利用者のパスワードを組み合わせて認証を行う方式です。
根拠：この方式はパスワードを直接送信せず、チャレンジとパスワードの演算結果を送るため、盗聴やリプレイ攻撃に強い特徴があります。
差がつくポイント：チャレンジレスポンス方式は「固定パスワードの送信」や「単純なトークン認証」とは異なり、動的な認証情報を生成する点を理解することが重要です。

正解の理由

選択肢エは「利用者が入力したパスワードと、サーバから送られたランダムなデータ（チャレンジ）をクライアント側で演算し、その結果を認証用データに用いる」と説明しています。
これはチャレンジレスポンス方式の本質であり、パスワードを直接送信せずに認証を行うため、セキュリティが高い方法です。
したがって、エが正解です。

よくある誤解

チャレンジレスポンス方式は「パスワードを暗号化して送る」や「トークンのワンタイムパスワードを送る」方式と混同されやすいですが、これらは別の認証方式です。

解法ステップ

チャレンジレスポンス方式の定義を確認する。
「チャレンジ（ランダムデータ）」と「レスポンス（演算結果）」の関係を理解する。
各選択肢がチャレンジレスポンスの特徴を満たしているか検証する。
パスワードを直接送信しない点があるかを確認する。
最も適切な選択肢を選ぶ。

選択肢別の誤答解説

ア: SSLは通信の暗号化を行うが、固定パスワードを暗号化して送信するだけでチャレンジレスポンス方式ではない。
イ: トークンが毎回異なるパスワードを生成するのはワンタイムパスワード方式であり、チャレンジレスポンス方式とは異なる。
ウ: 任意長のデータから固定長のハッシュ値を出力するのはハッシュ関数の説明であり、認証方式そのものではない。
エ: チャレンジとパスワードを組み合わせて演算し、その結果を送信するチャレンジレスポンス方式の正しい説明。

補足コラム

チャレンジレスポンス方式はリプレイ攻撃を防ぐために、毎回異なるチャレンジ（ランダム値）を用います。これにより、盗聴された認証データを再利用されるリスクを低減します。代表的なプロトコルにはCHAP（Challenge Handshake Authentication Protocol）があります。

FAQ

Q: チャレンジレスポンス方式はなぜ安全なのですか？
A: パスワードを直接送信せず、毎回異なるチャレンジと組み合わせた演算結果を送るため、盗聴やリプレイ攻撃に強いからです。

Q: トークン認証とチャレンジレスポンス方式はどう違いますか？
A: トークン認証はトークンが生成するワンタイムパスワードを送信する方式で、チャレンジレスポンスはサーバからのチャレンジに対して応答を計算する方式です。

関連キーワード: チャレンジレスポンス方式、認証方式、リプレイ攻撃、CHAP, ワンタイムパスワード、SSL, ハッシュ関数

← 前の問題へ次の問題へ →

\ せっかくなら /

ネットワークスペシャリストを
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！