情報セキュリティマネジメント試験 令和8年度 公開問題、全15問のうちの問4。
出典：令和8年度 情報セキュリティマネジメント試験 科目A・B 公開問題 問4
チャレンジレスポンス認証方式に
- ア固定パスワードを，TLS に
よる 暗号通信を 使い， クライアントから サーバに 送信して， サーバで 検証する。 - イ端末の
シリアル番号を，クライアントで 秘密鍵を 使って 暗号化し， サーバに 送信して， サーバで 検証する。 - ウトークンという
機器が 自動的に 表示する， 認証の たびに 異なる 数字列を パスワードとして サーバに 送信して， サーバで 検証する。 - エ利用者が
入力した パスワードと， サーバから 受け取った ランダムな データとを クライアントで 演算し， その 結果を サーバに 送信して， サーバで 検証する。
答えと解説を開く
正解はエです。
チャレンジレスポンス認証は、
ほかの選択肢が違う理由
- アTLS で
暗号化してはいますが、 送っているのは 固定パスワードその ものです。 サーバからの チャレンジが なく、 チャレンジレスポンスでは ありません。 - イサーバから
ランダムな データを 受け取っていません。 毎回同じ シリアル番号を 同じ鍵で 処理するので、 送る 値も 毎回同じに なり、 盗んだ値を 使い回せてしまいます。 - ウトークンが
表示する 毎回違う 数字を 使うのは、 ワンタイムパスワードの 方式 (時刻などで 値が 変わる 物) です。 サーバから 受け取った 値で 計算していないので、 チャレンジレスポンスとは 違います。
仕組み
ポイントは
盗聴した