修了試験 2012-12-16実施分 基本情報技術者試験 問43

解説

正解は3です。 パスワードをハッシュ値で管理する認証方式を問う問題です。 ハッシュ関数は、元のデータから一定長の値を作る関数で、ハッシュ値から元のデータを復元することは困難です。 パスワードそのものを保存せず、ハッシュ値を保存しておけば、登録情報が漏れてもパスワードが知られにくくなります。 【選択肢別解説】 1：× 利用者IDのハッシュ値を登録しても、パスワードの情報は保存されません。 入力されたパスワードのハッシュ値と比べても一致しないので、認証になりません。 2：× 利用者IDのハッシュ値どうしを比べても、パスワードを確認していません。 IDさえ知っていれば誰でも認証に通ってしまいます。 3：○ パスワードのハッシュ値を登録し、入力されたパスワードを同じハッシュ関数で変換して比べます。 一致すれば正しいパスワードと判断でき、パスワード自体を保存せずに済みます。 4：× 登録しているのはパスワードのハッシュ値なので、利用者IDのハッシュ値と比べても一致しません。 パスワードの確認になりません。 【ポイント】 同じハッシュ関数に同じ入力を与えると、必ず同じハッシュ値が得られる性質を使っています。 実際には、利用者ごとに異なるソルトを加えてからハッシュ化し、辞書攻撃に備えます。