情報セキュリティ
基本情報技術者試験｜C社は、サーバが毎回異なる文字列（チャレンジ）を提示し、利用者の機器がそれと秘密情報から応答（レスポンス）を計算…
C社は、サーバが毎回異なる文字列（チャレンジ）を提示し、利用者の機器がそれと秘密情報から応答（レスポンス）を計算して返すチャレンジレスポンス方式の認証を採用している。この方式が、固定パスワードを毎回そのまま送る方式に比べて優れている点として最も適切なものはどれか。
ア経路上の応答を傍受されても、次回はチャレンジが変わり同じ応答を送り直しても通らない。
イ検証用の秘密情報をサーバへ置かずに済み、サーバが侵害されても漏えいが起こらない。
ウ利用者が覚えるべき秘密が一切不要となり、記憶に頼る部分が方式から完全に消える。
エやり取りするデータ量が固定パスワード方式より減り、低速回線でも速く認証できる。
正解
ア．経路上の応答を傍受されても、次回はチャレンジが変わり同じ応答を送り直しても通らない。
チャレンジレスポンス方式はサーバが毎回異なるチャレンジを出し、それと秘密情報から応答を計算するため、通信路を流れる応答は毎回変わる。盗聴した応答を後で再送（リプレイ）しても次回のチャレンジが異なるので通用せず、固定パスワードの盗聴・再利用という弱点を克服できる。これが本質的な利点である。
?選択肢ごとの解説
ア ○チャレンジレスポンス方式はサーバが毎回異なるチャレンジを出し、それと秘密情報から応答を計算するため、通信路を流れる応答は毎回変わる。盗聴した応答を後で再送（リプレイ）しても次回のチャレンジが異なるので通用せず、固定パスワードの盗聴・再利用という弱点を克服できる。これが本質的な利点である。
イ ×応答の正否を検証するため、サーバ側も同じ秘密情報（または検証用情報）を保持する必要があり、『秘密を一切持たない』は誤りである。
ウ ×秘密情報は機器内や利用者が保持する必要があり、記憶負担が完全になくなるわけではないため、利点の説明として不正確である。
エ ×チャレンジとレスポンスを往復させるため通信は固定パスワードより複雑化し得る。通信量削減はこの方式の本来の目的・利点ではない。
情報セキュリティの他の問題
B社はスマートフォンのアプリが30秒ごとに更新する6桁の数値を表示し、その値で追加認証する時刻同期方式のワンタイムパスワード…D社は、社内の複数の業務システムへ一度の認証でアクセスできるシングルサインオン（SSO）を導入する。利便性は高まる一方、認証…E社は、自社で管理する社員IDを使って外部のクラウドサービスへログインできるよう、SAMLによるフェデレーション認証を構成し…F社のWebサービスは、普段は国内の固定の場所と端末から利用される利用者が大半である。ある利用者のアカウントに、深夜に海外の…G社では、利用者のパスワードがフィッシングで窃取され不正ログインされる被害が続いている。対策として、端末内の生体センサで本人…H社の社内システムは、パスワードを3回連続で間違えるとアカウントを管理者が手動解除するまで無期限にロックする方針である。これ…I社の業務アプリは、データベースへ接続するためのIDとパスワードを、プログラムのソースコード中に文字列としてそのまま記述して…J社はSSOを導入し、一度ログインすれば多数の業務システムに再認証なしでアクセスできる。共用エリアの端末で、ある社員がログイ…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0063