平成21年度秋期 ネットワークスペシャリスト 午前Ⅱ 問18

認証方式を考える視点整理

認証方式を比較するときは、利用者を確認するために何を根拠として扱うのかに注目し、利便性だけでなく安全性や運用上の負担、状況に応じた扱いやすさとの関係を整理して考えます。

この問題で問われていること

各選択肢について、確認の根拠がどのような性質の情報に当たるかを見比べ、利用場面で生じる利点と注意点、管理する側に必要な対応を同じ観点から整理して考えましょうね。

視点

認証方式を学ぶときは、確認に用いる根拠の性質と、それを利用者が扱う場面との対応に焦点を置きます。覚えた名称だけで判断せず、管理のしやすさや漏えい時の影響など、同じ軸で比較すると整理しやすくなります。

確認ポイント

• 確認の根拠がどのような性質の情報か
• 利用者が準備・管理するときの負担は何か
• 情報が知られたり失われたりした場合の影響は何か

正解

エ

解説

チャレンジレスポンス方式は、認証の都度変化するデータを使い、秘密情報を直接送信せずに応答を生成して認証する方式です。したがって、パスワードとサーバからのランダムデータを演算し、その結果を認証用データに使うエが適切です。

理由

チャレンジレスポンス方式では、サーバが認証の都度異なるデータを提示し、利用者側は秘密情報とそのデータを用いて応答を生成する。生成された応答を認証に利用するため、固定パスワードをそのまま送る方式ではありません。

比較

SSLは通信経路上でデータを保護する仕組みであり、チャレンジレスポンス方式そのものではありません。トークンの毎回異なる表示をそのままパスワードとして送る説明や、任意長データから固定長ハッシュ値を得る説明も、方式の認証手順全体を表していない。

選択肢ア

これは不正解だよ。SSLは通信内容を暗号化して保護する仕組みであり、チャレンジレスポンス方式そのものではない。この選択肢は、固定パスワードをクライアント側で暗号化して送信する方法を説明しており、認証の都度変化するデータを使う手順がない。

選択肢イ

これは不正解だよ。トークンが毎回異なるデータを表示する点だけでは、チャレンジレスポンス方式の説明にならない。この選択肢は表示データをパスワードとして送信するとしており、秘密情報と認証用データを組み合わせて応答を生成する処理を示していない。

選択肢ウ

これは不正解だよ。任意長のデータから固定長のハッシュ値を出力するのは、ハッシュ関数の性質を説明したものだ。チャレンジレスポンス方式に必要な、認証の都度変化するデータを用いた応答生成や、生成結果を認証に使う手順までは示していない。

選択肢エ（正解）

これは正解だよ。利用者が入力したパスワードと、サーバから送られたランダムなデータをクライアント側で演算し、その結果を認証用データに用いる説明である。秘密情報を直接送らず、認証の都度変化する応答を使うため、チャレンジレスポンス方式に合致する。

学習のポイント

チャレンジレスポンス方式では、秘密情報を直接送らず、毎回変化する応答で認証する点を押さえる。