平成22年度春期 情報処理安全確保支援士 午前Ⅱ 問3

一方向関数（ハッシュ）を何度もかけた結果を、逆順に使って認証する「S/KEY」

使い捨てパスワード方式の1つ「S/KEY（エスケイ）」の問題だよ。最初に秘密のパスワードに「一方向関数（ハッシュ）」を100回かけておき、ログインのたびに「99回かけたもの」「98回かけたもの」と回数を減らしながら送るんだ。サーバー側は、送られてきたパスワードにもう1回だけ関数をかけて、手元にある「前回値（100回かけたもの）」と一致するかで、本人かどうかを簡単に検証できる面白い仕組みだよ。

この問題で問われていること

毎回時刻を合わせる時計式（タイムスタンプ型）などと区別して、「送られてきたパスワードに一方向関数を1回だけ適用して、前回の受信データと比較する」というS/KEY特有の検証の仕組みを選ぼう。

S/KEY の検証方式

S/KEY はハッシュ鎖を逆向きにたどる方式です。サーバは前回受理した値を保存し、次回値の正当性を確かめます。

クライアントが OTP 送信\nサーバが一方向関数を適用\n前回保存値と比較

確認ポイント

• シーケンス番号や seed を送るのはサーバ側です。
• 時刻同期型は TOTP 系の説明です。
• 受け取った OTP に演算をして前回値と比べる説明を選びます。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。S/KEYでは、Seedやシーケンス番号のようなチャレンジ情報はサーバ側からクライアントに示されるものだよ。お店の窓口が『今日はこの番号で答えてね』と出すイメージで、客側が勝手にチャレンジを作ってサーバへ送るわけではないんだ。

選択肢イ

これは正解だよ。たとえば窓口が『前回の合い言葉』を覚えていて、客が言った今回の合い言葉を1回変換したら前回の合い言葉になるかを見る感じだよ。S/KEYでは、クライアントが送った使い捨てパスワードをサーバ側でハッシュ計算し、保存済みの値と一致するかで本人確認するんだ。

選択肢ウ（正解）

これは不正解だよ。時刻を使ってワンタイムパスワードを作る方式は、時計を見ながら合い言葉を合わせるタイプの話だね。S/KEYは時刻で同期するのではなく、Seedとシーケンス番号を使って、ハッシュ計算を逆向きにたどるように確認する方式だよ。

選択肢エ

これは不正解だよ。使い捨てになるのは毎回入力するワンタイムパスワードであって、利用者が覚えている元のパスフレーズそのものではないよ。家の鍵を毎回捨てるのではなく、鍵から作る一時的な入場券だけを毎回変えるイメージだね。