修了試験 2025-01-26実施分 基本情報技術者試験 問29

解説

正解は3です。 パスワードをハッシュ値で管理する認証の正しい手順を問う問題です。 ハッシュ関数は、元のデータから固定長の値を求める関数で、値から元のデータに戻すことが困難です。 パスワードそのものではなくハッシュ値を登録しておけば、登録情報が漏れてもパスワードを知られにくくなります。 【選択肢別解説】 1：× 登録するのが利用者IDのハッシュ値で、比較するのがパスワードのハッシュ値なので、同じものを比べていません。 これでは正しい利用者かどうかを判定できません。 2：× 利用者IDのハッシュ値同士を比べても、パスワードを確認したことになりません。 利用者IDは秘密の情報ではないため、本人の認証にはなりません。 3：○ パスワードのハッシュ値を登録し、入力されたパスワードを同じハッシュ関数で変換して比較します。 同じパスワードからは同じハッシュ値が得られるため、パスワードを保存せずに照合できます。 4：× 登録したのはパスワードのハッシュ値なのに、比べる相手が利用者IDのハッシュ値になっています。 異なるものを比べているので、認証として成り立ちません。 【ポイント】 登録時も認証時も、パスワードを同じハッシュ関数で変換して比較します。 実際のシステムでは、ソルトやストレッチングを組み合わせて、ハッシュ値の解読をさらに難しくします。