問38応用情報技術者 令和元年度 秋期

解説

正解は4。チャレンジレスポンス認証では、サーバが毎回ちがう乱数（チャレンジ）をクライアントに送り、クライアントはその乱数と利用者のパスワードを使ってハッシュ関数などで演算し、結果（レスポンス）だけをサーバに返す。サーバも同じ演算をして一致を確かめる。パスワードそのものは通信路を流れず、乱数が毎回変わるので、盗聴した値を使い回す攻撃にも強い。

• 1は、固定パスワードをTLSで暗号化して送る方式で、サーバからのチャレンジがない。
• 2は、秘密鍵で暗号化した値を送るだけで、サーバからの乱数を使っていないので、同じ値を盗んで再送されるおそれがある。
• 3は、トークンが表示する毎回異なる値を使うワンタイムパスワード方式（時刻同期方式など）で、サーバから受け取ったデータを使わない。

根拠：チャレンジレスポンス認証方式の仕組み。