問38応用情報技術者 平成28年度 秋期

解説

正解は4。チャレンジレスポンス認証では、サーバが毎回違う乱数（チャレンジ）をクライアントに送る。クライアントは、利用者が入力したパスワードとチャレンジを組み合わせてハッシュ関数などで演算し、その結果（レスポンス）だけを返す。サーバも同じ計算をして一致を確かめる。パスワードそのものはネットワークに流れず、チャレンジが毎回変わるので、盗聴した値を使い回されても通らない。

• 1は、TLSで固定パスワードを暗号化して送る方式で、チャレンジを使っていない。
• 2は、端末のシリアル番号を秘密鍵で暗号化して送るのは、端末を認証するデジタル署名の考え方に近く、チャレンジレスポンス方式の説明ではない。
• 3は、トークンが表示する毎回異なる値を送るのは、時刻同期方式などのワンタイムパスワードである。

根拠：利用者認証の方式（チャレンジレスポンス認証・ワンタイムパスワード）