チャレンジレスポンス認証とは？
チャレンジレスポンス認証とは、サーバが毎回異なる乱数（チャレンジ）を送り、利用者側がパスワードや鍵を使って計算した結果（レスポンス）だけを返す認証方式。パスワード自体が経路を流れないため、盗聴と再送攻撃（リプレイ攻撃）の両方を防げる点が要点。
応用情報技術者試験の過去問では3回出題されています（2016年度〜2022年度）。
ちゃれんじれすぽんすにんしょう
チャレンジレスポンス認証の意味
サーバが毎回異なる乱数（チャレンジ）を送り、利用者側がパスワードや鍵を使って計算した結果（レスポンス）だけを返す認証方式。パスワード自体が経路を流れないため、盗聴と再送攻撃（リプレイ攻撃）の両方を防げる点が要点。
チャレンジレスポンス認証の具体例
社内システムへのログインで、サーバが乱数を送り、端末がその乱数とパスワードのハッシュを結合して再度ハッシュ化した値を返す。盗聴者が値を記録しても、次回のチャレンジが違うためそのまま送っても認証されない。ICカード認証も同じ考え方で鍵の所持を証明する。
チャレンジレスポンス認証は試験でどう引っ掛けられる？
「盗聴されないのでパスワードは単純でよい」は誤り。レスポンスを集めてオフラインで総当たりされうる。またサーバ側がパスワードを平文相当で保持する必要がある方式もあり、DB流出時の被害は別問題として残る。
チャレンジレスポンス認証と関連する用語
チャレンジレスポンス認証が出た過去問
チャレンジレスポンス認証方式の特徴はどれか。
正解：利用者が入力したパスワードと、サーバから送られたランダムなデータとをクライアント側で演算し、その結果を送信する。
要点：チャレンジレスポンスは毎回異なる値で演算し再生攻撃を防ぐ
チャレンジレスポンス認証では、サーバが毎回異なるランダムな値（チャレンジ）を送り、クライアントはパスワードとその値を組み合わせて演算した結果（レスポンス）だけを返します。パスワード自体がネットワークを流れないうえ、値が毎回変わるため、通信を盗聴して同じ応答を送り返す再生攻撃も防げます。ワンタイムパスワード用トークンの説明と混同しないよう注意が必要です。
出典：平成28年度 秋期 応用情報技術者試験 午前 問38（IPA）チャレンジレスポンス認証方式に該当するものはどれか。
正解：利用者が入力したパスワードと、サーバから受け取ったランダムなデータとをクライアントで演算し、その結果をサーバに送信する。
要点：チャレンジレスポンスは毎回異なる乱数で応答を作り盗聴再利用を防ぐ
チャレンジレスポンス認証は、サーバが毎回異なる乱数（チャレンジ）を送り、クライアントがパスワードと組み合わせて演算した結果（レスポンス）を返す方式です。パスワードそのものはネットワークを流れず、毎回値が変わるため盗聴による再利用（リプレイ攻撃）を防げます。
出典：令和1年度 秋期 応用情報技術者試験 午前 問38（IPA）チャレンジレスポンス認証方式に該当するものはどれか。
正解：利用者が入力したパスワードと、サーバから受け取ったランダムなデータとをクライアントで演算し、その結果をサーバに送信して、サーバで検証する。
要点：チャレンジレスポンスは毎回変わる値で応答し盗聴に強い
チャレンジレスポンス認証では、サーバが毎回異なるランダムなデータ（チャレンジ）を送り、クライアントはそれとパスワードを使って計算した結果（レスポンス）だけを返す。パスワード自体はネットワークを流れないうえ、チャレンジが毎回変わるので通信を盗聴して再送しても認証を通せない。
出典：令和4年度 春期 応用情報技術者試験 午前 問38（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。