情報セキュリティマネジメント 平成29年度 秋期 午前 問18

✓ これが正解ウ パスワードをハッシュ値に変換して登録しておき，認証時に入力されたパスワードをハッシュ関数で変換して比較する。

解説

パスワードをハッシュ値で保存し、入力も同じ関数で変換して比べます。

パスワードをそのままの形で保存しておくと、保存先が漏れたときにそのまま悪用されてしまいます。そこで、あらかじめパスワードをハッシュ関数で変換した値だけを登録しておき、利用者が入力したパスワードを認証のたびに同じハッシュ関数で変換して、登録してある値と一致するかを比べます。ハッシュ関数は、同じ入力からはいつも同じ値を返し、少しでも違う入力からはまったく別の値を返すという性質を持ちます。値から元のパスワードを求めるのは難しいので、登録側にパスワードそのものを持たないまま照合ができるわけです。比べる二つがどちらもパスワードから作った値である、という対応が取れている点が要点になります。

ほかの選択肢の解説

• ア パスワードに対応する利用者IDのハッシュ値を登録しておき，認証時に入力されたパスワードをハッシュ関数で変換して比較する。：登録してあるのは利用者IDから作った値なのに、突き合わせる相手は入力されたパスワードから作った値です。元になったデータが食い違うので、正しいパスワードを入れても一致しません。
• イ パスワードに対応する利用者IDのハッシュ値を登録しておき，認証時に入力された利用者IDをハッシュ関数で変換して比較する。：登録も照合も利用者IDから作った値だけで済ませる形です。手順としてはつじつまが合っていても、秘密であるべきパスワードを一度も確かめていないため、利用者IDを知る人なら誰でも通ってしまいます。
• エ パスワードをハッシュ値に変換して登録しておき，認証時に入力された利用者IDをハッシュ関数で変換して比較する。：保存側はパスワードから作った値、照合側は入力された利用者IDから作った値になっています。異なるデータから作った値どうしを見比べることになり、認証の判定として成り立ちません。