ワンタイムパスワードとCAPTCHAとは？

ワンタイムパスワードとCAPTCHAの意味

ワンタイムパスワードは、一度使うと無効になる使い捨てのパスワードで、盗み見や使い回しによる不正ログインのリスクを下げる。CAPTCHAは、歪んだ文字の読み取りなど人間には簡単だが機械（プログラム）には難しい課題を課すことで、自動化されたプログラムによる不正なログイン試行やアカウント作成を防ぐ仕組み。

ワンタイムパスワードとCAPTCHAの具体例

オンラインバンキングで、スマートフォンアプリに毎回異なる6桁の数字が表示され、その数字を入力させる方式はワンタイムパスワードの代表例。

ワンタイムパスワードとCAPTCHAは試験でどう引っ掛けられる？

CAPTCHAが確かめるのは「人間かどうか」であって「本人かどうか」ではないため、認証手段そのものと書かれていれば誤り。ワンタイムパスワードは盗聴やパスワードの使い回しには強いが、リアルタイムに中継される攻撃までは防げない。

ワンタイムパスワードとCAPTCHAと関連する用語

• 利用者認証（多要素認証・バイオメトリクス認証）
• パスワードクラック（辞書攻撃・総当たり攻撃）

ワンタイムパスワードとCAPTCHAが出た過去問

• チャレンジレスポンス認証方式の特徴はどれか。

  正解：利用者が入力したパスワードと、サーバから送られたランダムなデータとをクライアント側で演算し、その結果を送信する。

  要点：チャレンジレスポンスは毎回異なる値で演算し再生攻撃を防ぐ

  チャレンジレスポンス認証では、サーバが毎回異なるランダムな値（チャレンジ）を送り、クライアントはパスワードとその値を組み合わせて演算した結果（レスポンス）だけを返します。パスワード自体がネットワークを流れないうえ、値が毎回変わるため、通信を盗聴して同じ応答を送り返す再生攻撃も防げます。ワンタイムパスワード用トークンの説明と混同しないよう注意が必要です。

  出典：平成28年度 秋期 応用情報技術者試験 午前 問38（IPA）

• 3Dセキュア2.0(EMV 3-Dセキュア)は、オンラインショッピングにおけるクレジットカード決済時に、不正取引を防止するための本人認証サービスである。3Dセキ…

  正解：利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に、カード会社が追加の本人認証を行う。

  要点：3Dセキュア2.0はリスクが高い取引だけ追加認証を求める

  3Dセキュア2.0の最大の特徴はリスクベース認証を採用した点である。カード会社は取引履歴や端末情報などの多数の属性を受け取ってリスクを評価し、リスクが低いと判断した取引では追加認証を省いて決済を通す。逆に不正の疑いが高い取引に限りワンタイムパスワードなどの追加認証を求めるので、安全性と利便性を両立できる。

  出典：令和6年度 春期 応用情報技術者試験 午前 問35（IPA）