修了試験 2019-01-27実施分 基本情報技術者試験 問44

解説

正解は3です。 パスワード認証で、ハッシュ関数を正しく使う方法を問う問題です。 ハッシュ関数は、元のデータから一定長の値を作る一方向の関数で、ハッシュ値から元のデータを戻すことは困難です。 パスワードそのものではなくハッシュ値を保存すれば、保存データが漏れてもパスワードは知られにくくなります。 【選択肢別解説】 1：× 登録しているのは利用者 ID のハッシュ値なのに、比較するのは入力パスワードのハッシュ値です。 異なるデータのハッシュ値同士を比べても一致しないので、認証が成立しません。 2：× 利用者 ID のハッシュ値同士を比較しても、パスワードを確認したことになりません。 利用者 ID を知っている人なら誰でも認証できてしまいます。 3：○ パスワードのハッシュ値を登録しておき、入力されたパスワードも同じハッシュ関数で変換して比較します。 一致すれば正しいパスワードだと確認でき、パスワード自体は保存しないので安全です。 4：× 登録しているのはパスワードのハッシュ値なのに、比較するのは利用者 ID のハッシュ値です。 異なるデータを比べているので、正しく認証できません。 【ポイント】 実際の運用では、パスワードにソルト（利用者ごとのランダムな値）を加えてからハッシュ化し、辞書攻撃などへの耐性を高めます。