問94
頻出度★★★
利用者が, トークンと呼ばれる装置などで生成した毎回異なる情報を用いて, 認証を受ける認証方式を何というか。
平成29年度 春期 ITパスポート試験 問94
この問題の解説と、これまでの解答の記録です。
解説
問 94
不正解ア
ディジタル署名は、文書やメッセージが本人によって作成され改ざんされていないことを、公開鍵暗号方式を用いて証明する仕組みです。データの真正性・完全性の保証が目的であり、「トークンが毎回異なるパスワードを生成して認証する」という設問の方式とは異なります。
不正解イ
パスワードクラックは、総当たり (ブルートフォース) や辞書攻撃などで他人のパスワードを不正に割り出す攻撃手法のことです。認証を「受ける」正規の認証方式ではなく、むしろ認証を破ろうとする攻撃側の行為なので誤りです。
不正解ウ
パスワードポリシは、パスワードの最低文字数・使用文字種・有効期限・使い回し禁止など、安全なパスワード運用のために組織が定める規則 (ルール) のことです。認証の運用基準であって、トークンで毎回異なる情報を生成する認証「方式」そのものではありません。
- エ
正解 正解はエの「ワンタイムパスワード」です。ワンタイムパスワード (OTP) は、トークンと呼ばれる専用のハードウェア装置やスマートフォンアプリなどで、その都度異なる使い捨てのパスワードを生成し、それを用いて認証を行う方式です。生成されたパスワードは一度きり、あるいは短時間 (例: 数十秒) だけ有効で、使い終わると無効になります。設問の「毎回異なる情報を用いて認証を受ける」という説明にそのまま合致します。仮にワンタイムパスワードが通信路上で盗聴されても、そのパスワードは再利用できないため、同じパスワードを何度も使い回す固定パスワード方式に比べて、なりすましやリプレイ攻撃に強いという利点があります。
ここがポイント
- ワンタイムパスワード (OTP): トークンなどで毎回異なる使い捨てパスワードを生成し認証する方式。盗聴されても再利用できずリプレイ攻撃に強い。
- 紛らわしい語の区別: ディジタル署名 (真正性・完全性の保証)、パスワードクラック (パスワードを破る攻撃)、パスワードポリシ (パスワード運用規則) は、いずれも「毎回異なる認証情報を生成する方式」ではない。
用語