チャレンジレスポンス認証方式｜情報セキュリティマネジメント 令和8年 公開問題 問4
出典：令和8年度 公開問題 科目A 問4
分野：セキュリティ ／ 情報セキュリティ対策
チャレンジレスポンス認証方式に該当するものはどれか。
- ア：固定パスワードを，TLSによる暗号通信を使い，クライアントからサーバに送信して，サーバで検証する。
- イ：端末のシリアル番号を，クライアントで秘密鍵を使って暗号化し，サーバに送信して，サーバで検証する。
- ウ：トークンという機器が自動的に表示する，認証のたびに異なる数字列をパスワードとしてサーバに送信して，サーバで検証する。
- エ：利用者が入力したパスワードと，サーバから受け取ったランダムなデータとをクライアントで演算し，その結果をサーバに送信して，サーバで検証する。
TSUNAGARU-ADVICE
まず押さえたいこと
チャレンジレスポンス認証では、サーバが毎回異なるランダムなデータ（チャレンジ）を送り、利用者側がパスワードなどの秘密情報と組み合わせて計算した結果（レスポンス）を返します。秘密情報そのものをネットワーク上に送信しない点が特徴です。
迷ったときの判断軸
「サーバからランダムな値を受け取る」「その値と秘密情報を使って演算する」「演算結果を返す」という流れが判断軸です。毎回異なる数字を表示するワンタイムパスワードとは似ていますが、サーバからの問いに対する応答を計算する点で区別しましょう。
科目Bにつなげるために
科目Bでは、認証情報の盗聴やリプレイ攻撃への対策を考える場面で役立ちます。固定パスワードをそのまま送る方式と比べて、チャレンジレスポンス方式では毎回異なる値を使うため、過去の通信内容をそのまま再利用しにくいという考え方を押さえておきましょう。
チャレンジレスポンス認証は、サーバが利用者側に毎回異なるランダムなデータ（チャレンジ）を送り、利用者側がパスワードなどの秘密情報と組み合わせて計算した結果（レスポンス）を返す認証方式です。
問題文では、「サーバから受け取ったランダムなデータ」と「パスワードと演算し、その結果を送信する」という部分が判断のポイントです。パスワードそのものを通信経路に流さず、毎回異なるデータを使って認証するため、盗聴された認証情報をそのまま再利用する攻撃への対策にもなります。そのため、エが適切です。
「サーバからチャレンジを受け取る → 秘密情報を使ってレスポンスを計算する → サーバが検証する」という流れを押さえておくと判断しやすくなります。
❌他選択肢が誤りの理由ア：固定パスワードを，TLSによる暗号通信を使い，クライアントからサーバに送信して，サーバで検証する。
⇒固定パスワードを暗号化された通信経路で送信する方式です。TLSによって通信内容は保護されますが、サーバからランダムなデータを受け取り、それを使って応答値を計算するチャレンジレスポンス認証ではありません。
イ：端末のシリアル番号を，クライアントで秘密鍵を使って暗号化し，サーバに送信して，サーバで検証する。
⇒秘密鍵を使った暗号処理に関する説明ですが、サーバから送られたランダムなチャレンジに対して応答しているわけではありません。そのため、チャレンジレスポンス認証には該当しません。
ウ：トークンという機器が自動的に表示する，認証のたびに異なる数字列をパスワードとしてサーバに送信して，サーバで検証する。
⇒ワンタイムパスワードを利用した認証の説明です。認証のたびに異なるパスワードを使用しますが、サーバから受け取ったチャレンジを使ってレスポンスを計算する方式とは異なります。