情報処理安全確保支援士 2010年 春期 午前2 問04

S/KEYワンタイムパスワード【午前2解説】

正解の理由

解法ステップ

1. S/KEYの基本原理を思い出す：ハッシュ関数Hを用いた反復でワンタイム値を生成する（ハッシュチェーン）。
2. 認証フローを整理する：
   • 初期登録時にサーバは最終ハッシュ値 $H^{(n)}(secret)$ を記憶する。
   • 認証時、サーバは（場合によっては）シーケンス番号nとシードを提示する。
   • クライアントは $H^{(n-1)}(secret)$ を送る。サーバは受け取った値を一回ハッシュして $H(H^{(n-1)}(secret))=H^{(n)}(secret)$ と比較する。
   • 一致すれば認証成功、サーバは保存値を受け取った値に更新する。
3. 各選択肢を上記フローに照らして評価する。

選択肢別の誤答解説

• ア: クライアントは認証要求のたびに、サーバへシーケンス番号と種(Seed)からなるチャレンジデータを送信する。
  • 誤り。シーケンス番号とシードは通常サーバ側が保持・提示するものであり、クライアントが毎回送るものではありません。サーバがチャレンジ（シーケンス番号とシード）を示すことが一般的です。
• イ: サーバはクライアントから送られた使い捨てパスワードを演算し、サーバで記憶している前回の使い捨てパスワードと比較することによって、クライアントを認証する。
  • 正しい。受信値をハッシュして記憶値と比較する、という動作がS/KEYの本質です。
• ウ: 時刻情報を基にパスワードを生成し、クライアント、サーバ間でパスワードを時刻で同期させる。
  • 誤り。時刻同期型のOTP（例：TOTP）とは異なり、S/KEYはハッシュチェーンに基づくもので、時刻同期を必要としません。
• エ: 利用者が設定したパスフレーズは1回ごとに使い捨てる。
  • 誤り。利用者のパスフレーズ（シークレット）は複数回のワンタイムパスワード生成に使われます。使い捨てられるのは生成されるワンタイムパスワードそのものであり、シークレット自体は保持されるか再利用されます（端末側で保管・使用される）。

よくある誤解

• サーバはチャレンジを出さない／S/KEYは「チャレンジレス」であるという誤解：
  • 実際にはサーバがシーケンス番号とシードを提示することが一般的で、これをチャレンジとして用いる設計が多いです。チャレンジの提示なしに動く設計も理論的には可能ですが、典型的な運用ではサーバ提示が行われます。
• シークレット（パスフレーズ）も毎回使い捨てると考える誤解：
  • シークレットはワンタイム値を生成する元になる固定の秘密です。毎回ワンタイム値そのものが使い捨てられますが、シークレットは端末側で引き続き使用されます。

補足コラム

import hashlib

def H(b):
    return hashlib.sha1(b).digest()

def iter_hash(secret: bytes, n: int) -> bytes:
    v = secret
    for _ in range(n):
        v = H(v)
    return v

# 例: 初期登録
secret = b"mypassword"
n = 1000
stored = iter_hash(secret, n)   # サーバ保管値

# 認証時（クライアントが送る値）
client_value = iter_hash(secret, n-1)

# サーバ側検証
if H(client_value) == stored:
    # 認証成功 -> stored を client_value に更新
    stored = client_value

FAQ