基本情報技術者 試験情報＆徹底解説 -新制度に完全対応-

https://www.fe-siken.com/kakomon/21_aki/pm04.html

設問２の「e」で質問があります。

解説の（２）で、「不正サーバが受信するのは、利用者ID及びレスポンスです。レスポンスからハッシュ化前のパスワードを推測することはほぼ不可能※1なので、不正サーバが受信した情報を用いても不正ログインはできないことになります。」と書かれてありました。

ハッシュ化前のパスワードを推測することがほぼ不可能なのは知っています。ハッシュ値を不正に受け取って、そのまま送ることは不可能なんでしょうか？送信元でハッシュ値が変わってしまうということなんでしょうか？

どなたかよろしくお願いします。

(3)は、不正なサーバに接続してログイン情報を送信したケースです。なので、不正なサーバが受け取ったレスポンスは、正規のサーバから送信されたチャレンジに基づいて生成されたものではありません。よって、それを正規のサーバに送っても不正ログインをすることはできませんね。

中間者攻撃のように正規のサーバと利用者との間に割り込んでレスポンスを窃取しているのなら、1回は不正ログインが成功しそうな感じです。

「不正なサーバが受け取ったレスポンスは、正規のサーバから送信されたチャレンジに基づいて生成されたものではありません。」という部分を考えられていませんでした。

すっきりしました！ありがとうございました。