この問題の解説と、これまでの解答の記録です。
次の認証方式の特徴に関する記述として，適切なものはどれか。 ・利用者にはあらかじめ乱数表が渡されている。 ・乱数表に印刷された数字は利用者ごとに異なる。 ・システムが要求する乱数表の座標位置に記載された数字をパスワードとして入力する。（座標位置は毎回異なる。） ・正しいパスワードの入力が確認できた場合に認証が成功する。 〔乱数表の例〕
| A | B | C | D | E | |
|---|---|---|---|---|---|
| 1 | 37 | 24 | 99 | 91 | 76 |
| 2 | 77 | 75 | 64 | 88 | 52 |
| 3 | 94 | 84 | 11 | 41 | 58 |
| 4 | 66 | 61 | 18 | 26 | 31 |
| 5 | 47 | 60 | 81 | 23 | 29 |
システムが要求する乱数表の座標位置が B1, C2, D3, E4 の場合 パスワードは 24644131 となる。
乱数表に印刷された数字は固定です。同じ座標位置 (例えばまた B1・C2・D3・E4) が要求されれば、読み取る数字も同じ 24・64・41・31 となり、パスワードは 24644131 で毎回同じになります。パスワードが変わるのは「座標位置が毎回変わるから」であって、同じ座標なら同じ値です。因果関係が逆になっている記述です。
利用者はパスワードを記憶しているのではなく、あらかじめ渡された乱数表という「持ち物」を見て数字を読み取ります。乱数表を持っていない人は座標を指定されても答えられないので、これは所持による認証 (所持認証) に分類されます。知識による認証は、記憶したパスワードや秘密の質問の答えのように、頭の中にある情報で本人確認する方式を指します。
正解 この方式では、システムが指定する乱数表の座標位置が毎回変わります。例の図でも B1・C2・D3・E4 が指定され、その位置の数字 24・64・41・31 をつないだ 24644131 が今回のパスワードになりますが、次回は別の座標 (例えば A2・B4・C5 など) が指定されるため、入力すべき数字列も別のものになります。つまりパスワードは実質的にワンタイムパスワードとして機能します。したがって、通信路上でパスワードを盗聴されても、その数字列は次回の認証では通用せず、盗聴した値を使ったなりすまし (リプレイ攻撃) を防ぐのに有効です。これが正解ウの理由です。
乱数表の数字は利用者ごとに異なり、その表こそが本人であることの証拠 (所持要素) です。他人に渡してしまえば、その人はどの座標を要求されても正しい数字を答えられるため、そのまま本人になりすませます。乱数表は他人に渡してはならない秘密情報であり、この記述は逆です。