平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問1

✓ これが正解エ利用者が入力したパスワードと，サーバから送られたランダムなデータとをクライアント側で演算し，その結果を認証用データに用いる。

解説

サーバの乱数とパスワードを演算して返すのがこの方式です。

チャレンジレスポンス方式は、パスワードそのものを回線に流さずに本人を確かめる認証の方式です。まずサーバが、毎回異なるランダムなデータをチャレンジとしてクライアントへ送ります。クライアントは、利用者が入力したパスワードとそのチャレンジを組み合わせて演算し、結果をレスポンスとしてサーバに返します。サーバも手元の情報で同じ演算を行い、結果が一致すれば認証が成立します。チャレンジが毎回変わるので、盗聴したレスポンスを後から送り直しても通りません。判断の軸は、サーバから送られた値を使って演算する手順があるかどうかです。

ほかの選択肢はなぜ違うのか

• アSSL によって，クライアント側で固定パ…：SSL で通信路を暗号化して固定パスワードを送る形です。回線上は守られますが、同じパスワードを毎回送る点は変わらず、サーバからの問いかけに応じて計算する流れがありません。
• イトークンという装置が表示する毎回異なった…：トークンが表示する毎回異なる値を送るのは、ワンタイムパスワードの一方式です。値は装置の側だけで作られ、サーバが送ってきたデータを受け取って計算する流れが含まれていません。
• ウ任意長のデータを入力として固定長のハッシ…：任意長の入力から固定長のハッシュ値を出すのは、ハッシュ関数そのものの説明です。認証の部品として使われることはありますが、これだけでは認証の手順を表したことになりません。