令和元年度 秋期 応用情報技術者試験 午前 問38

• ア: 固定パスワードをTLSによって暗号化し，クライアントからサーバに送信する。
  誤り。これは固定パスワード方式であり，チャレンジレスポンス方式ではありません。TLSは通信経路の暗号化ですが，パスワード自体の保護にはなりません。

• イ: 端末のシリアル番号を，クライアントで秘密鍵を使って暗号化してサーバに送信する。
  誤り。端末認証の例ですが，チャレンジレスポンス方式ではなく，公開鍵暗号方式に近いものです。

• ウ: トークンという装置が自動的に表示する，認証のたびに異なるデータをパスワードとして送信する。
  誤り。これはワンタイムパスワード（OTP）方式の説明です。チャレンジレスポンス方式ではありません。

• エ: 利用者が入力したパスワードと，サーバから受け取ったランダムなデータをクライアントで演算し，その結果をサーバに送信する。
  正しい。チャレンジレスポンス方式は，サーバが送信するランダムなチャレンジ（データ）に対してクライアントがパスワードを使って演算し，結果を返送する方式です。これによりパスワードそのものを送信する必要がなくなり，盗聴によるリスクを低減します。

答え

エ: 利用者が入力したパスワードと，サーバから受け取ったランダムなデータをクライアントで演算し，その結果をサーバに送信する。