平成24年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問20

✓ これが正解ウベーシック認証では，利用者 ID とパスワードを “:” で連結したものを，BASE64 でエンコードし Authorization ヘッダで指定する。

解説

ベーシック認証は ID とパスワードの連結を BASE64 にして送ります。

HTTP の認証には、ベーシック認証とダイジェスト認証があります。ベーシック認証では、クライアントが利用者 ID とパスワードをコロンでつないだ文字列を作り、BASE64 でエンコードして Authorization ヘッダに入れて送ります。BASE64 は文字の表し方を変える符号化であり、暗号化ではないので、通信を盗み見られると簡単に元に戻されます。そのため、ベーシック認証は TLS などで通信路を暗号化したうえで使うのが基本です。

ほかの選択肢はなぜ違うのか

• アダイジェスト認証では，利用者 ID とパ…：ダイジェスト認証では、サーバから受け取った nonce という使い捨ての値なども材料に加えて、MD5 でハッシュ値を計算します。ID とパスワードをつないだものをそのまま MD5 にかけるという手順とは違います。
• イダイジェスト認証では，利用者 ID とパ…：ダイジェスト認証の値は、ID とパスワードの連結だけから作るのではなく、サーバが示す nonce なども含めて計算します。作り方の手順がそもそも違うので、ハッシュ関数を SHA に替えても正しい説明にはなりません。
• エベーシック認証では，利用者 ID とパス…：ベーシック認証の手順には、連結した文字列を BASE64 の形に符号化する段階が含まれます。何も変換せずにヘッダへ書き込むという説明は、その段階を抜かしている点で誤りです。