応用情報技術者 試験情報＆徹底解説

HTTPS通信を使っていればPWが平分でも実質暗号化されて送られているのと同じなので、ダイジェスト認証のような捻った認証方法は不必要な気がするのですが、なぜ使われているのでしょうか。

また余談ですが、ワンタイムパスワードというのは、ベーシック認証、ダイジェスト認証と同じように、認証する方法の内の1種類という認識で合っていますか？それとも｢ベーシック認証にワンタイムパスワードを適用にするとこで更に強化｣…のような使われ方をするのでしょうか？

HTTPSで暗号化されたということは復号できる鍵があるということです。もし盗聴されて復号された場合に平文のパスワードが漏洩してしまいます。

対してダイジェスト認証ではパスワードをハッシュ化しますが、ハッシュ値を元のパスワードに変換する方法はありません。そのため、仮に盗聴されたとしてもパスワードの漏洩を防ぐことができます。

認証方法にベーシック認証・ダイジェスト認証・トークンベース認証があり、ワンタイムパスワードはトークンベース認証の方法の１つだと認識してます。

クライアントから入力されたpassをハッシュ化してサーバに送れば、サーバ側のクライアントpassのハッシュ値をdbに保存してあれば突合せ処理ができます。
さーばのpassが流出しても、盗聴されてもハッシュ値なのでリスクが少ないというメリットもあります

なるほど、確かにサーバの情報が漏洩した場合でもダイジェスト認証ならPW流出を防げますね。納得しました。ありがとうございました！