平成24年度 春期 応用情報技術者試験 午前 問39
手順に示すクライアントとサーバの処理と通信で可能になることはどれか。
〔手順〕 1. サーバはクライアントから要求があるたびに異なる予測困難な値（チャレンジ）を生成して保持するとともに，クライアントへ送る。 2. クライアントは利用者が入力したパスワードのメッセージダイジェストを計算し，(1) でサーバから送られた“チャレンジ”と合わせたものから，さらに，メッセージダイジェスト（レスポンス）を計算する。この“レスポンス”と利用者が入力した利用者 ID をサーバに送る。 3. サーバは，クライアントから受け取った利用者 ID で利用者情報を検索して，取り出したパスワードのメッセージダイジェストと (1) で保持していた“チャレンジ”を合わせたものから，メッセージダイジェストを計算する（レスポンス照合データ）。この“レスポンス照合データ”とクライアントから受け取った“レスポンス”とを比較する。
キーボード：1〜4 で解答 → 次の問題 ← 前の問題
正解と解説を見る
解答する前に解説を開いたので、この問題は「見て解いた」として記録します（正解数には入りません）。
正解：ウ
これはチャレンジレスポンス方式の認証です。ネットワーク上を流れるのは「チャレンジ」「レスポンス（ハッシュ値）」「利用者 ID」だけで，パスワードそのものは送られません。
-
ア: パスワードのビット誤りの訂正
誤り。メッセージダイジェストは誤りの検出には使えても訂正はできません。この手順は認証のためのものです。 -
イ: 利用者 ID のビット誤りの訂正
誤り。利用者 ID はそのまま送られており，誤り訂正の仕組みはありません。 -
ウ: パスワードの漏えい防止とリプレイ攻撃の防御
正しい。パスワード自体はネットワークに流れないので漏えいを防げます。また，チャレンジが毎回異なるのでレスポンスも毎回変わり，盗聴したレスポンスを再送するリプレイ攻撃は失敗します。 -
エ: 利用者 ID の漏えい防止とリプレイ攻撃の防御
誤り。利用者 ID は平文のままサーバに送られるので，利用者 ID の漏えいは防げません。
答え
ウ: パスワードの漏えい防止とリプレイ攻撃の防御
出典：平成24年度 春期 応用情報技術者試験 午前 問39
