平成26年度 春期 応用情報技術者試験 午前 問38

• ア: SSLで固定パスワードを暗号化して送信する
  誤り。SSLで固定パスワードを暗号化して送る方式であり，チャレンジレスポンス認証ではありません。

• イ: 端末のシリアル番号を秘密鍵で暗号化して送信する
  誤り。端末のシリアル番号を秘密鍵で暗号化するのは，ディジタル署名による端末認証に近い方式で，チャレンジレスポンス認証ではありません。

• ウ: トークンが表示する毎回異なるデータをパスワードとして送信する
  誤り。トークンが表示する値を使うのは，時刻同期方式などのワンタイムパスワードの説明です。

• エ: パスワードとサーバからのランダムなデータを演算し，その結果を送信する
  正しい。チャレンジレスポンス認証では，サーバが毎回異なるランダムなデータ（チャレンジ）を送り，クライアントはそれとパスワードを演算（ハッシュ関数など）した結果（レスポンス）を返します。パスワードそのものがネットワークを流れず，毎回レスポンスが変わるため盗聴や再送攻撃に強い方式です。

答え

エ: パスワードとサーバからのランダムなデータを演算し，その結果を送信する