チャレンジレスポンス認証とは？ちゃれんじれすぽんすにんしょう
チャレンジレスポンス認証とは、サーバが毎回異なる乱数（チャレンジ）を送り、利用者側はパスワードなどの秘密情報とその乱数を演算した結果（レスポンス）だけを返す認証方式。パスワード自体はネットワークを流れず、乱数が毎回変わるので同じ応答は二度と通用しない。
最終更新：2026-10-07
この語が出る過去問を解く →背景
パスワードをそのまま送る方式は、経路を盗聴されればそれで破られる。暗号化して送っても、暗号文をそっくり送り返すだけの再生（リプレイ）攻撃が成立してしまい、中身を読めなくても認証は通ってしまう。「毎回必ず値が変わる」という性質を認証に組み込むことで、盗聴した内容の再利用を封じたのがこの方式で、ハッシュ関数やHMACを使って実装される。
具体例
利用者側はパスワードから作った値とチャレンジを合わせてハッシュ化し、その結果を返す。サーバは自分が保管している値で同じ計算をして一致を確かめる。値が毎回変わるという発想は、ワンタイムパスワードや時刻同期方式のトークンにも共通している。
試験での引っ掛け
「パスワードを暗号化して送る方式」ではない。送るのは演算結果だけで、パスワードは一切流れないところが要点。防げるのは盗聴とリプレイであって、パスワード自体が単純なら総当たりや辞書攻撃は防げない。また使う要素は知識1つのままなので、要素の種類を増やす多要素認証とも別物。
関連用語
出た過去問
出典：平成28年度 秋期 高度試験 午前Ⅰ 問13（IPA）
チャレンジレスポンス認証方式の特徴はどれか。
正解：利用者が入力したパスワードと、サーバから送られたランダムなデータとをクライアント側で演算し、その結果を送信する。
要点：サーバの乱数とパスワードの演算結果を返して認証する
チャレンジレスポンス認証では、サーバが毎回異なる乱数（チャレンジ）を送り、クライアントはパスワードとその乱数から演算した結果（レスポンス）だけを返す。パスワードそのものがネットワークを流れず、通信内容も毎回変わるため、盗聴による再送攻撃を防げる。
出典：令和元年度 秋期 高度試験 午前Ⅰ 問13（IPA）
チャレンジレスポンス認証方式に該当するものはどれか。
正解：利用者が入力したパスワードと、サーバから受け取ったランダムなデータとをクライアントで演算し、その結果をサーバに送信する。
要点：チャレンジレスポンスは乱数と秘密情報の演算結果を返す方式
チャレンジレスポンス認証では、サーバが毎回異なるランダムなデータ（チャレンジ）をクライアントへ送り、クライアントはパスワードとチャレンジを組み合わせてハッシュ演算などを行い、その結果（レスポンス）を返す。パスワード自体はネットワークを流れず、盗聴された値も次回は使えないため、リプレイ攻撃にも強い。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。