【S/KEYとは】S/KEYワンタイムパスワード方式の認証手順

ワンタイムパスワード方式の認証システムであるS/KEYについてまとめました。

【S/KEYとは】ワンタイムパスワード方式の認証システム

S/KEYワンタイムパスワード方式の認証システムでは、サーバはクライアントから送られた使い捨てパスワードを演算し、サーバで記憶している前回の使い捨てパスワードと比較してクライアントを認証します。
オープンソースでソフトウェア公開されています。

S/KEYの認証手順は次の通りです。

① クライアントは、ユーザIDをサーバに送信する(認証要求)。

② サーバは、ユーザごとに記録しているチャレンジコード(シーケンス番号とシード)をクライアントに送信。

③ クライアントは、チャレンジコードとパスフレーズでハッシュ関数でハッシュ値を、シーケンス番号より1少ない回数だけ計算し、それを使い捨てパスワードとしてサーバに送信する。

④ サーバは、受け取ったハッシュ値(使い捨てパスワード)にもう1回だけハッシュ関数で計算を加え、その結果と、前回の認証時に受け取って保存していたパスワードを比較する。一致すれば、クライアントがユーザーIDの持ち主であると判断する。

⑤ サーバは、新しいパスワード(クライアントからの送信分で1少ないもの)とシーケンス番号の値(1引いたもの)を更新して保存し、次回の認証に備える。