令和4年度 春期 応用情報技術者試験 午前 問題 問38

チャレンジレスポンス認証方式 は、通信経路上に固定のパスワードを流さないことで、盗聴 や リプレイアタック（再送攻撃） を防ぐ認証方式です。

その仕組みは以下の通りです。

1. サーバからクライアントへ、認証のたびに異なるランダムなデータ（チャレンジ）を送信する。
2. クライアント側で、利用者が入力したパスワードと受け取ったチャレンジを用いて所定の演算（ハッシュ化など）を行う。
3. その演算結果（レスポンス）をサーバへ送信し、サーバ側でも同様の演算を行って両者を比較・検証する。

選択肢エは、この手順を正確に説明しており、チャレンジレスポンス認証方式に該当します。

各選択肢の解説

• ア: 固定パスワードをTLSで暗号化して送信する方式です。TLSによる通信路の暗号化によって盗聴は防げますが、チャレンジレスポンス認証とは異なります。
• イ: クライアントの秘密鍵を用いて端末のシリアル番号を暗号化して送信する方式です。デバイス認証やデジタル署名の仕組みに近く、ランダムなデータ（チャレンジ）を用いた演算ではないため誤りです。
• ウ: トークンを利用して認証のたびに異なる文字列を生成する ワンタイムパスワード の説明です。サーバから受け取ったチャレンジを用いる方式ではないため誤りです。