平成21年度 秋期 ネットワークスペシャリスト試験 午前II 問18

• ア: SSLによって，クライアント側で固定パスワードを暗号化して送信する。
  誤り。固定パスワードを暗号化して送信する方法は、チャレンジレスポンス方式とは異なります。この方法では、リプレイ攻撃に対する耐性が低くなります。

• イ: トークンという装置が表示する毎回異なったデータをパスワードとして送信する。
  誤り。これはワンタイムパスワードの仕組みであり、チャレンジレスポンス方式ではありません。

• ウ: 任意長のデータを入力として固定長のハッシュ値を出力する。
  誤り。これはハッシュ関数の動作の説明であり、チャレンジレスポンス方式の説明ではありません。

• エ: 利用者が入力したパスワードと，サーバから送られてきたランダムなデータとをクライアント側で演算し，その結果を確認用データに用いる。
  正しい。チャレンジレスポンス方式は、サーバが生成したランダムなチャレンジ（値）に対し、クライアントがパスワードなどの秘密情報と組み合わせて演算したレスポンスを送信し、サーバ側で確認する仕組みです。この方法により、パスワードを直接送信せず、リプレイ攻撃を防ぐことができます。

答え

エ: 利用者が入力したパスワードと，サーバから送られてきたランダムなデータとをクライアント側で演算し，その結果を確認用データに用いる。