チャレンジレスポンス認証方式

チャレンジレスポンス認証方式は、主にワンタイムパスワード（OTP）で使用されます。OTP以外にも、PPP（Point-to-Point Protocol）の一部であるCHAP（Challenge Handshake Authentication Protocol）などのプロトコルや、Wi-Fiアクセスポイントでのデバイス認証に利用されます。

この方式では、クライアント（認証される側）が、ユーザーIDなどの認証情報を使用して、サーバー（認証を行う側）に認証要求を送信します。サーバーは「チャレンジ」と呼ばれるランダムなデータを生成し、クライアントに送信します。同時に、クライアントのパスワードに基づいて、想定されるレスポンスも事前に計算します。クライアントは、チャレンジと自身のパスワードを使用してハッシュ値（「レスポンス」）を計算し、サーバーに返送します。サーバーは、クライアントから受信したレスポンスと、自身が生成したレスポンスを比較します。両者が一致すれば、認証は成功です。

毎回生成されるチャレンジはランダムで、それに対応するレスポンスも一意であるため、通信を傍受されても攻撃者が認証を突破することは困難です。このため、この方式は高いセキュリティを実現します。ただし、パスワード自体が盗まれた場合は、不正アクセスのリスクが残ります。

このリスクを軽減するため、チャレンジレスポンス方式を使用するワンタイムパスワードでは、多くの場合、追加のセキュリティ対策が講じられます。たとえば、ユーザーは最初にIDとパスワードを入力しますが、チャレンジレスポンスの処理は、スマートフォンなどの別のデバイスと通信チャネルを介して行われます。チャレンジの一般的な送信方法には、SMS、メール、専用のスマートフォンアプリがあります。このプロセスでは独立した2つの要素を使用するため、「二要素認証」または「二段階認証」と呼ばれることがよくあります。

F5のBIG-IPは、チャレンジレスポンス方式のOTPシステムの実装を簡素化し、組織がこの安全性の高い認証方式を導入しやすくします。