Feitian

チャレンジ＆レスポンス認証
１. チャレンジ＆レスポンス認証とはチャレンジ＆レスポンス方式とは主にワンタイムパスワード認証に用いられる方式で、認証サーバーから送られてくるデータ（チャレンジ）を元に、クライアントが持っているパスワードを組み合わせて演算し、ハッシュ値を認証サーバーに「レスポンス」として返すことにより認証を行う方法です。

チャレンジ

この方式では実際のパスワードをネットワーク上に流す必要が無い点と認証サーバーから送られてくるチャレンジの内容が毎回異なるので、チャレンジやレスポンスを盗聴されてもセキュリティリスクが非常に少ない点が特徴です。

レスポンス

認証サーバーが乱数から作り出したデータで、認証時にクライアントへ送信するクライアントがパスワードとチャレンジを組み合わせ、ハッシュ値としてサーバーへ返すデータ

ハッシュ値

２. ハッシュ関数とハッシュ値ハッシュ関数により生成される値で、計算結果から元のデータへ戻すことができない不可逆な値

ハッシュ関数とは与えられたデータから固定長の乱数を生成する演算方法で、ハッシュ関数により生成された値をハッシュ値と呼びます。このハッシュ値は、計算結果から元のデータを推測することができないという特性をもった不可逆な値で、主なハッシュ関数としては 128 ビットのハッシュ値を生成する MD5 や、160 ビットのハッシュ値を生成する SHA-1 などがあります。この MD5 や SHA-1 により求められたハッシュ値は元のデータの大きさに関わらず、必ず固定長の値となります。

３. チャレンジ＆レスポンス の流れ
クライアントＰＣ

サーバー
1 クライアントがサーバーへ認証要求を送信

２ サーバーが乱数からデータ （チャレンジ）を生成し、 クライアントへ送信
５ サーバー側もクライアントと同様に 「②」 で送信したチャレンジと自身に格納しているクライアントのパスワードからハッシュ値を生成

３ サーバーから送られてきたチャレンジと自身のパスワードからハッシュ値を生成
４ 生成したハッシュ値 （レスポンス） をサーバーへ送信
ト！

ン
ｅＰａｓｓ1000ND を利用するメリット
ポイ(1) ｅＰａｓｓ1000ND を利用すると、ＰＣ上にパスワード （キー） を格納する必要とＰＣ上でハッシュ値の生成を行う必要がなくなり、ｅＰａｓｓ に格納してあるパスワード （キー） とサーバーから送信されたチャレンジを使用してードウェア上でセキュアにハッシュ値を生成することができます。
(2) ｅＰａｓｓ1000ND にパスワード （キー） を格納する事でパスワード （キー） の携帯が可能になり、 大幅に利便性を向上することができます。

４

チャレンジ＆レスポンス認証の特長

チャレンジ＆レスポンス の特長１ ：「②」 のチャレンジや 「④」 のレスポンスが盗聴されたとしても、 次回認証時にはサーバーは異なるチャレンジを送信する為、生成されるハッシュ値も異なり、 前回のチャレンジからハッシュ値を求めてもログイ
４ンできません

チャレンジ＆レスポンス の特長２ ：
サーバー側は自身が送信したチャレンジとサーバー側に格納してあるＰＣのパスワード（キー） を利用してハッシュ値を生成する為
ＰＣ側はパスワードをネットワーク上に送出する必要が無く、 パスワードの漏洩の心配がありません※製品の仕様や記載されている内容は予告無く変更することがあります。
※記載されている各社の会社名・製品名は各社の登録商標または商標です。

６ クライアントから送られてきたハッシュ値とサーバーが生成したハッシュ値を比較し、同一なら接続を許可

ｅＰａｓｓ ＳＤＫ
ePass USB トークン用にSDK も提供しています。
弊社提供の API を利用する事でチャレンジ＆レスポンス認証の環境も容易に構築することができます。

〒101-0016
東京都中央区日本橋小網町 9-3 CANAL TOWER 4F
TEL:03-3668-6668 FAX:03-3668-6667
http://www.ftsafe.co.jp/ E-mail : sales@ftsafe.co.jp

Feitianチャレンジ＆レスポンス認証
４. ｅＰａｓｓ1000ND を利用したチャレンジ＆レスポンス認証 構築導入例【目的】
・ポータルサイト会員のみに専用サービスを提供する

ｅＰａｓｓ1000ND ならチャレンジ＆レスポンス認証の Web 構築を容易に実現！！

【条件】

ｅＰａｓｓ1000 ＵＳＢトークン
ドライバレス ＵＳＢトークン

・会員にユーザーＩＤやパスワードを意識させたくない
・非会員がパスワードを盗聴してもログインさせない
・電子証明書を利用する以外の方法でセキュアに認証を行いたい

ｅＰａｓｓ1000ＮＤ

ｅＰａｓｓ1000ND

クライアントへのドライバインス
トール作業が不要のドライバレス
USB トークンです。PC に接続するだけで利用でき、チャレンジ＆レスポンス認証のみを実現したい場合に最適なソリューションです。

ポータルサイトサーバー

ログイン許可ＰＫＩ とも連携できるＵＳＢトークン

会員Ａ（ＵＳＢトークンあり）

ｅＰａｓｓ1000
専用サイト

弊社提供の API を利用することで容易にチャレンジ＆レスポンスを実現できます。また、電子証明書などの格納も行えるので PKI との連携も可能です。

ログイン許可

会員Ｂ（ＵＳＢトークンあり）【ユーザー接続手順】① Web サイトへログインの試行② 認証時に USB トークンが PC に接続されているか確認③ USB トークンが PC に接続されていれば、USB トークンを利用してチャレンジ＆レスポンス認証を実行④ 認証が行えた PC のみ専用サイトへ接続を許可

ログイン拒否

非会員 （ＵＳＢトークンなし）※この例は一例であり、構築次第で USB トークンとユーザー ID などの組み合わせでログインを実現する事も可能です。詳細は弊社までお問い合わせください。

５. チャレンジ＆レスポンス機能を利用したソフトウェア 『SecureVisit』 を利用すれば、既存 Web サイトを改造せず、 USB トークンによる認証を実現
SecureVisit を利用すれば、既存 Web サーバーのコンテンツを変更する必要がなく、容易に USB トークンを利用した認証方式に移行できます。導入が容易なだけでなく、SecureVisit サーバーが Web サーバーとユーザーの間に入ることにより自社 Web サーバーへの攻撃も強固に防ぎます。

システム構成図ＳｅｃｕｒｅＶｉｓｉｔ

Ｗｅｂ Ｓｅｒｖｅｒ

ＳｅｃｕｒｅＶｉｓｉｔ製品仕様■ サーバー動作環境OS

Red Hat Enterprise Linux ES4/ES5

CPUCeleron 1.7GHz 以上（2GHz 以上推奨）

メモリ

1GB 以上HDD

50GB 以上
Ethernet

ネットワーク■ クライアント動作環境
Windows2000/XP/Vista/7

OS

ドライバレス USB トークン ePass1000ND を利用すれば、利用者はクライアント側でドライバブラウザーのインストールが一切不要です。

その他

Internet Explorer 6.0 以上 （ActiveX が実行できること）
USB 1.1/2.0 空きポート 1 つ以上■ 管理コンソール動作環境
許可許可拒否Windows2000/XP/Vista/7

OSブラウザーInternet Explorer 6.0 以上 （ActiveX が実行できること）
USB 1.1/2.0 空きポート 1 つ以上

その他■ 製品仕様 / 対応機器
正規ユーザー
正規ユーザー（ＵＳＢトークンあり） （ＵＳＢトークンあり）

不正ユーザー（ＵＳＢトークンなし）

認証方式

チャレンジ＆レスポンス（MD5:128bit）

通信強度

SSL Ver3.0（128bit）*HTTPS 使用時

対応 USB トークン

※製品の仕様や記載されている内容は予告無く変更することがあります。
※記載されている各社の会社名・製品名は各社の登録商標または商標です。

ePass1000ND USB トークン