リプレイ攻撃とは？

リプレイ攻撃とは、盗聴した認証情報や要求メッセージを、内容を解読せずそのまま再送してなりすます攻撃。暗号化されていても「同じ電文が有効なら通る」仕組みなら成立する。対策の鍵は電文の一回性を担保するチャレンジレスポンスやナンス、時刻印である。

応用情報技術者試験の過去問では1回出題されています。

りぷれいこうげき

応用情報技術者試験の頻出用語／テクノロジ系

リプレイ攻撃の意味

盗聴した認証情報や要求メッセージを、内容を解読せずそのまま再送してなりすます攻撃。暗号化されていても「同じ電文が有効なら通る」仕組みなら成立する。対策の鍵は電文の一回性を担保するチャレンジレスポンスやナンス、時刻印である。

入退室のIDカードの通信を記録し再送すると扉が開いてしまう場合、乱数（チャレンジ）を毎回サーバから送り、それを鍵で処理した値を返す方式に変えれば、記録した応答は次回には使えない。ワンタイムパスワードも同じ発想である。

「通信を暗号化すれば防げる」は誤り。中身が読めなくても丸ごと再送できるためである。またハッシュ化したパスワードをそのまま送る方式は、ハッシュ値自体がパスワード同然になる点も狙われやすい。

チャレンジレスポンス認証方式に該当するものはどれか。
正解：利用者が入力したパスワードと、サーバから受け取ったランダムなデータとをクライアントで演算し、その結果をサーバに送信する。
要点：チャレンジレスポンスは毎回異なる乱数で応答を作り盗聴再利用を防ぐ
チャレンジレスポンス認証は、サーバが毎回異なる乱数（チャレンジ）を送り、クライアントがパスワードと組み合わせて演算した結果（レスポンス）を返す方式です。パスワードそのものはネットワークを流れず、毎回値が変わるため盗聴による再利用（リプレイ攻撃）を防げます。
出典：令和1年度秋期応用情報技術者試験午前問38（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。