平成24年度 秋期 ネットワークスペシャリスト試験 午前II 問20

• ア: SSLによって，クライアント側で固定のパスワードを暗号化して送信する。
  誤り。固定のパスワードを暗号化して送信する方法は安全性が低く、チャレンジレスポンス方式の特徴とは異なります。

• イ: クライアント側で端末のシリアル番号を秘密鍵を使って暗号化して送信する。
  誤り。これは端末認証やデバイスの特定に関する方法であり、チャレンジレスポンス方式ではありません。

• ウ: トークンという装置が表示する毎回異なったデータを，パスワードとして送信する。
  誤り。ワンタイムパスワード（OTP）方式に近い説明ですが、チャレンジレスポンス方式とは異なります。

• エ: 利用者が入力したパスワードと，サーバから送られてきたランダムなデータとをクライアント側で演算し，その結果を送信する。
  正しい。チャレンジレスポンス方式では、サーバがランダムなデータ（チャレンジ）を送信し、クライアント側でそのデータとパスワードを基に演算してレスポンスを生成し、サーバに送信します。これにより、パスワード自体を直接送信せずに認証が可能となり、セキュリティが向上します。

答え

エ: 利用者が入力したパスワードと，サーバから送られてきたランダムなデータとをクライアント側で演算し，その結果を送信する。