先生と生徒の会話形式で理解しよう

生徒

「先生、チャレンジレスポンス認証って何ですか？なんだかかっこいい名前ですね。」

先生

「確かに名前はちょっとゲームっぽいですが、これはインターネットで安全にログインするための仕組みの一つなんですよ。」

生徒

「普通のパスワード認証と何が違うんですか？」

先生

「チャレンジレスポンス認証は、読み方はチャレンジレスポンスニンショウといいます。パスワードを直接送る代わりに、サーバーが出す“お題”に答える方式なんです。」

生徒

「へえ、お題ってどんなものですか？もっと詳しく教えてください！」

先生

「もちろんです。それでは、チャレンジレスポンス認証の仕組みやメリットをわかりやすく解説していきましょう。」

情報セキュリティマネジメント試験を初めて学ぶ人でも、出題ポイントを押さえて効率よく対策したい人に向けた定番テキストです。

※ Amazonアソシエイト広告リンク

1. チャレンジレスポンス認証とは？

チャレンジレスポンス認証は、読み方はチャレンジレスポンスニンショウといいます。英語では Challenge Response Authentication（チャレンジレスポンスオーセンティケーション）と呼ばれています。

この認証方式は、パスワードなどの情報をそのままネットに送らないで、サーバーから送られてくる「チャレンジ（お題）」に対して、正しい「レスポンス（答え）」を返すことで、本人確認をする仕組みです。

この方法は、パスワードを盗み見られるリスクを減らせるため、安全性が高い認証方法として広く使われています。

2. チャレンジレスポンス認証の仕組み

チャレンジレスポンス認証は、次のような流れで行われます：

この方法では、パスワード自体をネットに流さないので、仮に通信が盗み見られても安全です。

通常のログインでは、入力したパスワードがそのまま送信されます。そのため、悪意のある第三者が通信を盗聴すると、パスワードを簡単に盗まれる危険があります。

しかし、チャレンジレスポンス認証では、サーバーから送られてくる「お題（チャレンジ）」が毎回違うため、同じ答え（レスポンス）にはなりません。

つまり、たとえ攻撃者が一度レスポンスを盗んだとしても、次回は違うチャレンジになるため、同じレスポンスでは認証できないのです。

この認証方式は、セキュリティが重要な以下のような場面で使われます：

特に、外部からのアクセスを制限したいときや、情報漏洩を防ぎたいときに使われることが多いです。

リプレイ攻撃（リプレイコウゲキ）とは、以前の通信を盗んで、もう一度送り直して不正にログインする攻撃のことです。

チャレンジレスポンス認証は、このリプレイ攻撃に強い認証方式です。なぜなら、チャレンジの内容が毎回変わるため、前回のレスポンスを使っても意味がないからです。

このように、安全性の高いログイン方法として、多くのシステムに導入されています。

チャレンジレスポンス認証は、システム側で設定されている仕組みなので、ユーザーが特別な操作をする必要はほとんどありません。

ですが、次のようなポイントを押さえることで、より安全に使えます：

チャレンジレスポンス認証があっても、他の部分で情報が盗まれることもあるため、日常の行動にも注意が必要です。