パスワードを直接送信しないチャレンジレスポンス認証方式
チャレンジレスポンス認証方式は、通信経路上にパスワードそのものを一切流さずに利用者の正当性を確認する認証プロトコルです。 認証手順は次の通りです：
1. サーバは認証要求を受けると、毎回異なるランダムなデータ列「チャレンジ（Challenge）」を生成してクライアントへ送信する。
2. クライアントは、利用者が入力したパスワードと受信したチャレンジをハッシュ関数等で演算して「レスポンス（Response）」を算出し、サーバへ返信する。
3. サーバ側でも自身が保持する利用者のパスワード情報とチャレンジから同様の演算を行い、クライアントから届いたレスポンスと一致するかを照合する。 毎回異なる使い捨てのチャレンジを用いるため、通信路上を盗聴されてもパスワードが漏えいせず、盗聴したデータをそのまま再送するリプレイ攻撃（再送攻撃）も防ぐことができます。 TLS暗号化通信路を用いた通常のパスワード認証（HTTPS認証等）の説明であり、チャレンジレスポンス方式ではありません。 公開鍵暗号を用いたクライアント端末認証の説明です。端末固有のシリアル番号は固定値であるためリプレイ攻撃耐性を得られません。 ワンタイムパスワード（OTP）生成トークン（タイムスタンプ同期型やカウンタ同期型トークン）の説明です。
【正解・解説】パスワードを直接送信しないチャレンジレスポンス認証方式｜令和元年 秋 応用情報 午前 問38 | IT資格ラボ