令和元年度秋期 情報処理安全確保支援士 午前Ⅰ 問13

午前I 問13：チャレンジレスポンス認証の考え方

チャレンジレスポンス認証は、毎回違う“合言葉のお題”をサーバから出してもらい、それに対する答えを返すイメージだよ。固定パスワードをそのままネットワークに流さないので、前に使った通信を盗まれて再送されても、そのままではログインされにくいんだ。

この問題で問われていること

ポイントは、これは“ワンタイムパスワードを送る仕組み”そのものや、“TLSで平文を暗号化して守る話”とは別物だと見分けることだよ。毎回変わるチャレンジ値に応じた応答を返すことで、リプレイ攻撃に強くする仕組みだと押さえよう。

Challenge-response Authentication

server sends a random challenge; client computes a response using secret information

challenge = random\nresponse = computed value

確認ポイント

• 固定パスワードを暗号化して送るだけではありません。
• トークン表示の値送信とも違う。
• 乱数 challenge と計算 response を押さえる。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。TLSで暗号化していても、送っている中身は毎回同じ固定パスワードだよね。たとえると、封筒に入れて合鍵を窓口へ送っている感じで、チャレンジレスポンス方式の「毎回違うお題に答える」仕組みとは違うよ。

選択肢イ

これは不正解だよ。端末のシリアル番号は基本的に固定なので、毎回違うお題に答えるチャレンジレスポンス方式とは違うよ。たとえると、毎回同じ会員番号を見せているだけに近く、サーバから出されたランダムなお題を使って答えを作る仕組みではないんだ。

選択肢ウ

これは不正解だよ。トークンが毎回違う数字を出して、それをパスワードとして送るのはワンタイムパスワードの説明だよ。たとえると、入場券の番号が毎回変わる方式で、サーバから出されたお題を計算して返す方式ではないんだ。

選択肢エ（正解）

これは正解だよ。サーバがランダムなデータ、つまり毎回違うお題を出して、クライアントがパスワードと組み合わせて答えを計算して返すのがチャレンジレスポンス方式だよ。合言葉そのものを言わずに、その場で出されたなぞなぞの答えだけを言う感じだから、盗み聞きされても使い回されにくいんだ。