初級シスアド講座 第49回 ワンタイムパスワードのチャレンジ/レスポンス認証

今回は、ワンタイムパスワードで用いられるチャレンジ/レスポンス認証についてです。

以下の手順となります。

(1) クライアントがログインを要求

(2) サーバがチャレンジコード(ランダムな情報文字列)をクライアントに送信

(3) チャレンジコードを受信したクライアントは、パスフレーズ(予めサーバとクライアントが所持している)とチャレンジコードから、予め決めたルールに従って、文字列(ワンタイムパスワード)を生成しサーバに返す。

(4) サーバはクライアントと同じ方法で、ワンタイムパスワードを生成し、クライアントから受信したワンタイムパスワードと照合します。

(5) 照合した結果が同じであれば、正当なクライアントであると認証する。

少し、複雑になりますが、サーバとクライアントしか持っていない「パスフレーズ」と「あらかじめ決めたルール」を使うことによって、正当なクライアントでなければ、認証できないようにセキュリティを高めています。

セキュアドの試験対策では、重要な項目となってきますが、シスアドにおいても、認証方法についての種類と簡単な流れは、理解しておいた方が良いと思い、ご紹介させていただきました。