ワンタイムパスワードとFIDO2・パスワードレス認証とは？
ワンタイムパスワードとFIDO2・パスワードレス認証とは、一度きり有効な使い捨てパスワードで再利用攻撃を防ぐ方式（時刻同期方式・チャレンジレスポンス方式）と、さらに進んで公開鍵暗号を用い、端末内の秘密鍵で署名して認証するパスワードレス方式。後者は共有秘密が存在しないため、漏えいしても再利用できない。
応用情報技術者試験の過去問では2回出題されています（2016年度〜2024年度）。
わんたいむぱすわーどとふぁいどつーぱすわーどれすにんしょう
ワンタイムパスワードとFIDO2・パスワードレス認証の意味
一度きり有効な使い捨てパスワードで再利用攻撃を防ぐ方式（時刻同期方式・チャレンジレスポンス方式）と、さらに進んで公開鍵暗号を用い、端末内の秘密鍵で署名して認証するパスワードレス方式。後者は共有秘密が存在しないため、漏えいしても再利用できない。
ワンタイムパスワードとFIDO2・パスワードレス認証の具体例
TOTPは30秒ごとに6桁を生成し、サーバと端末が同じ時刻と秘密種から同じ値を算出する。FIDO2ではブラウザが認証器へ署名を依頼し、生体情報やPINは端末内でのみ検証されてサーバへは送られない。
ワンタイムパスワードとFIDO2・パスワードレス認証は試験でどう引っ掛けられる？
SMSで送るワンタイムパスワードは、SIMスワップや中継型フィッシングで奪える。FIDO2が強いのは「署名対象にドメイン情報が含まれ、偽サイトでは署名が成立しない」ためで、単に生体認証だからではない。
ワンタイムパスワードとFIDO2・パスワードレス認証と関連する用語
ワンタイムパスワードとFIDO2・パスワードレス認証が出た過去問
チャレンジレスポンス認証方式の特徴はどれか。
正解：利用者が入力したパスワードと、サーバから送られたランダムなデータとをクライアント側で演算し、その結果を送信する。
要点：チャレンジレスポンスは毎回異なる値で演算し再生攻撃を防ぐ
チャレンジレスポンス認証では、サーバが毎回異なるランダムな値（チャレンジ）を送り、クライアントはパスワードとその値を組み合わせて演算した結果（レスポンス）だけを返します。パスワード自体がネットワークを流れないうえ、値が毎回変わるため、通信を盗聴して同じ応答を送り返す再生攻撃も防げます。ワンタイムパスワード用トークンの説明と混同しないよう注意が必要です。
出典：平成28年度 秋期 応用情報技術者試験 午前 問38（IPA）3Dセキュア2.0(EMV 3-Dセキュア)は、オンラインショッピングにおけるクレジットカード決済時に、不正取引を防止するための本人認証サービスである。3Dセキ…
正解：利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に、カード会社が追加の本人認証を行う。
要点：3Dセキュア2.0はリスクが高い取引だけ追加認証を求める
3Dセキュア2.0の最大の特徴はリスクベース認証を採用した点である。カード会社は取引履歴や端末情報などの多数の属性を受け取ってリスクを評価し、リスクが低いと判断した取引では追加認証を省いて決済を通す。逆に不正の疑いが高い取引に限りワンタイムパスワードなどの追加認証を求めるので、安全性と利便性を両立できる。
出典：令和6年度 春期 応用情報技術者試験 午前 問35（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。