平成21年度秋期 情報処理安全確保支援士 午前Ⅱ 問1

毎回変わる「なぞなぞ（チャレンジ）」を解いて、パスワードを隠したまま認証する

「チャレンジレスポンス方式」の問題だよ。ログインする時に、サーバーから「このランダムな数字を使って計算してみて」というお題（チャレンジ）が届くんだ。手元のパスワード（秘密情報）を使って計算した答え（レスポンス）だけをサーバーに送り返すから、もし途中で通信を盗み聞きされてもパスワードが盗まれる心配がないんだよ！

この問題で問われていること

通信経路に固定パスワードを流さないため、盗み聞き（盗聴）されたり、そのデータを使って「なりすましログイン（再送攻撃）」されるのを防げる仕組みを選ぼう。

チャレンジレスポンスの流れ

サーバが乱数を送り、クライアントがパスワードなどの秘密と組み合わせて計算した応答を返します。盗聴者は元の秘密を知らないので、同じ計算を再現しにくくなります。

サーバ: ランダム値送信\nクライアント: 秘密情報で応答計算\nサーバ: 応答を検証

確認ポイント

• 固定パスワードをそのまま送る方式は該当しません。
• ワンタイムパスワードは毎回変わりますが、チャレンジを受けて計算する方式とは別です。
• 乱数 + パスワードで応答を作る選択肢を選びます。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。SSL/TLSで固定パスワードを暗号化して送るのは、封筒に入れて同じ合鍵を窓口へ渡すようなもの。通信中は見えにくくなるけど、毎回同じパスワードを送っている点が、チャレンジレスポンス方式とは違うよ。

選択肢イ

これは不正解だよ。トークンが毎回違う数字を表示して、それを入力するのはワンタイムパスワードの説明だよ。使い捨ての入場券を毎回見せるイメージで、サーバから送られたランダムデータとパスワードを計算するチャレンジレスポンス方式とは別物だよ。

選択肢ウ

これは不正解だよ。これはハッシュ関数の説明で、長い文章でも短いメモでも、決まった長さの「指紋」を作る仕組みのことなんだ。チャレンジレスポンス認証みたいに、サーバから毎回違う合言葉をもらって返事を作る話ではないよ。

選択肢エ（正解）

これは正解だよ。サーバが毎回違うランダムな合言葉を出して、利用者側がパスワードと混ぜて計算結果だけを返す方式なんだ。店員が「今日の質問はこれ」と毎回違うお題を出し、本人だけが作れる答えを返す感じだよ。パスワードそのものを道に流さないのがポイントだよ。