平成28年度秋期 情報処理安全確保支援士 午前Ⅰ 問13

午前I 問13：盗み聞きされても使い回されにくい認証の話だよ

固定パスワードをそのまま送る方式は、合い鍵を毎回同じ形で見せているようなものだよ。一方、ワンタイム性のある応答を使う方式では、その場限りの合図になるので、誰かに盗聴されても同じ応答をもう一度使ってなりすますのが難しくなるんだ。

この問題で問われていること

ポイントは、「毎回同じパスワードを平文で送る」のと、「一度きりの応答を使う」の違いを見分けることだよ。盗まれた情報を後から再利用されにくい仕組みかどうかに注目しよう。

Challenge-Response

challenge-response authentication uses a fresh challenge each time、 making replay attacks harder

fresh challenge\ncalculated response\nreplay resistance

確認ポイント

• 毎回同じ値を返す方式ではありません。
• 乱数チャレンジで再利用を防ぐ。
• リプレイ対策を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。TLSで固定パスワードを暗号化して送るのは、封筒に入れて合言葉を窓口へ渡すようなもの。通信中は見えにくくなるけれど、送っている中身は毎回同じ固定パスワードなんだ。チャレンジレスポンス認証のように、毎回違うお題への答えを返す仕組みではないよ。

選択肢イ

不正解だよ。端末のシリアル番号は、たとえるなら『スマホの製造番号を見せる』ようなもの。端末を識別する材料にはなるけれど、利用者が正しい本人かを、サーバからの毎回違う問いかけに答えて確認する仕組みではないんだ。チャレンジレスポンス認証の説明としてはズレているよ。

選択肢ウ

不正解だよ。トークンが毎回違う数字を表示して、それをパスワードとして送るのはワンタイムパスワードの説明だよ。使い捨ての入場券を見せる感じで安全性は高いけれど、サーバから送られたランダムなお題に対して計算結果を返す、というチャレンジレスポンス認証そのものの説明ではないんだ。

選択肢エ（正解）

正解だよ。サーバが毎回違うランダムなデータを送るのは、窓口が『今日の合言葉にこの数字を混ぜて答えて』と出すお題みたいなもの。利用者のパスワードをそのまま送らず、そのお題と組み合わせて計算した結果だけを返すので、盗み見されても同じ返事を使い回しにくいんだ。これがチャレンジレスポンス認証の考え方だよ。