修了試験 2016-06-12実施分 基本情報技術者試験 問44

解説

正解は3です。 パスワードは、そのまま保存すると漏えいしたときにすぐ悪用されます。 そこで、ハッシュ関数で変換した値（ハッシュ値）を登録しておきます。 ハッシュ関数は、ハッシュ値から元の値を求めることが困難な一方向性をもちます。 認証時は、入力されたパスワードを同じハッシュ関数で変換します。 その結果を登録済みのハッシュ値と比べ、一致すれば正しいパスワードと判断します。 【選択肢別解説】 1：× 登録しているのが利用者IDのハッシュ値なので、入力されたパスワードのハッシュ値とは比較になりません。 2：× 利用者IDどうしを比べるだけでは、パスワードを知っている本人かどうかを確認できません。 3：○ パスワードのハッシュ値を登録し、入力されたパスワードのハッシュ値と比べるので、正しい方法です。 4：× パスワードのハッシュ値と利用者IDのハッシュ値を比べても、一致する根拠がなく、認証になりません。 【ポイント】 ハッシュ値で比較すると、サーバの管理者もパスワードそのものを知らずに済みます。 実際には、ソルトと呼ぶランダムな値を加えてからハッシュ化するのが一般的です。