平成24年度 秋期 午前Ⅱ 問17

✓ これが正解ウベーシック認証では，利用者IDとパスワードを“:”で連結したものを，BASE64でエンコードしAuthorizationヘッダで指定する。

解説

ベーシック認証は、ID:パスワードをBASE64でエンコードして送ります。

HTTPの認証機能で、クライアントがAuthorizationヘッダに何を入れるかが軸です。ベーシック認証では、利用者IDとパスワードをコロンで連結した文字列をBASE64でエンコードし、Authorizationヘッダに入れて送ります。BASE64は文字列を別の文字の並びに置き換えるだけで、簡単に元に戻せるため、暗号化の代わりにはなりません。盗聴を防ぐにはHTTPSと組み合わせて使います。ダイジェスト認証は、サーバから受け取った値とパスワードなどを組み合わせてハッシュ値を計算し、パスワードそのものは送りません。ベーシックは変換して送るだけ、ダイジェストはハッシュ値で隠す、と対で覚えると見分けられます。出題当時のダイジェスト認証のハッシュ関数はMD5でしたが、その後SHA-256も使えるよう改められています。

ほかの選択肢はなぜ違うのか

• アダイジェスト認証では，利用者IDとパスワ…：ダイジェスト認証では、利用者IDとパスワードを連結しただけの文字列を送るのではなく、サーバから受け取った値なども加えてハッシュ値を計算します。MD5はハッシュ値を求める関数で、エンコードの手段として使うものでもありません。
• イダイジェスト認証では，利用者IDとパスワ…：ダイジェスト認証の計算には、サーバから受け取る値などが加わります。IDとパスワードを連結しただけのものを変換するのではないので、使う関数をSHAに替えても、この手順の説明の誤りは残ります。
• エベーシック認証では，利用者IDとパスワー…：ベーシック認証でも、IDとパスワードを連結した文字列をそのまま入れるのではなく、BASE64でエンコードしてからAuthorizationヘッダに入れます。エンコードせずに指定するという点が誤りです。