基本情報技術者 試験情報＆徹底解説 -新制度に完全対応-

https://www.fe-siken.com/kakomon/29_aki/pm01.html
設問４について、
「クライアントがセッション識別子などに対するディジタル署名をサーバに送信し，サーバがクライアントの公開鍵を用いてディジタル署名を検証する」
と記載がありまして、パスワード認証よりも安全とされていますが、
パスワード認証と同じく、送信したものを攻撃者に取られてしまったら不正ログインできてしまわないのでしょうか。
秘密鍵はクライアントしか持っていないからとしても、秘密鍵で暗号化した後のものを取られてしまったら同じではないのでしょうか。

ディジタル署名は、あくまでも送信者本人を証明するに過ぎません。

「送信者の公開鍵で復号できるのなら、送信者は秘密鍵をもっている本人だ」
これだけの証明です。

送信者の公開鍵を入手すれば、途中経路で取得した暗号文を復号できてしまうのではないかと心配されているのだと思いますが、ディジタル署名を復号した所で、人間には原則意味不明です。

寧ろ、この通信でやりとりする情報(本文)は、サーバー側の公開鍵で暗号化されている筈です。
その本文はサーバ側の秘密鍵でしか復号できないので、安全だと考えられているのです。

ちょっと表現を変えます。

書類を封筒に入れて郵送するのをイメージして下さい。
この封筒全体には、サーバ側の公開鍵で鍵をかけます。
ただ、送信者本人を証明するのに、封筒の送り主の欄にマークを付ける感じです。

このマークはハッシュ関数でハッシュ値に変換されたものなど意味不明の内容です。
そうしたマークを送信者の秘密鍵で鍵をかけるのです。

更には、このマーク(ディジタル署名)には書類全文から求めたハッシュ値も含まれるので、
ディジタル署名を復号した結果得られるハッシュ値と、全文を復号した後に改めて求めたハッシュ値とを照合することで、改竄の有無も検知できるようにするものです。