---
title: "チャレンジレスポンス認証はなぜ使われない？現代の認証方式との違い【SG試験】"
description: "チャレンジレスポンス認証が現代の一般的なWebサービスで主流になりにくい理由を、秘密情報の同期・専用実装などの運用コスト、利用者体験、TLS普及による平文盗聴対策上の相対的な利点低下から整理します。方式自体が危険だから廃れた、常にMFAより安全、現在も標準的というSG試験の説明を実務の採用条件から検討します。"
last_modified_at: "2026-07-14"
canonical_url: "https://stemtazoo.github.io/sg/challenge-response-why-not-used/"
section: "sg"
---

## まず結論
チャレンジレスポンス認証は盗聴対策として有効ですが、TLS（通信の暗号化）や多要素認証の普及により、実務では優先度が下がり広く使われていません。  
SG試験では「優れた方式＝主流とは限らない」と判断させる問題で問われます。

---

## 直感的な説明
「いい仕組みだけど、もっとラクで強い方法が出てきた」という状態です。

昔は：
- パスワードを盗み見される → 大問題  
→ チャレンジレスポンスが有効

今は：
- 通信が暗号化されている（HTTPS）  
- さらに多要素認証もある  

👉 **他の方法で十分安全になった**

---

## 定義・仕組み
チャレンジレスポンス認証は、

- パスワードを直接送らず  
- サーバからのランダム値（チャレンジ）に対する計算結果（レスポンス）で認証する方式

という特徴があります。

### 本来の強み
- 盗聴されてもパスワードが漏れない  
- リプレイ攻撃に強い  

👉 ここだけ見ると優秀

---

## どんな場面で使う？
### 使われる場面（限定的）
- 一部のネットワーク認証（PPPなど）
- 古いシステムや特定用途

### あまり使われない理由（実務視点）
ここがSG試験でも重要です👇

#### ① TLSで代替できる
- 通信自体が暗号化されている  
→ パスワードを送っても盗まれにくい  

👉 「送らない工夫」の必要性が低下

---

#### ② サーバ管理が難しい
- サーバ側も計算が必要  
- パスワード管理方法に制約が出る  

👉 現代のベストプラクティス（ハッシュ保存）と相性が悪い

---

#### ③ オフライン攻撃には弱い
- チャレンジ＋レスポンスを入手されると  
→ 総当たりで推測される可能性  

👉 パスワード自体の強さには依存する

---

#### ④ 多要素認証の方が強い
- パスワード＋スマホ認証など  
→ なりすまし自体を防げる  

👉 盗聴対策より効果が大きい

---

#### ⑤ UX（利便性）に寄与しない
- ユーザから見ると変化なし  
- パスワードレスやSSOの方が便利  

👉 採用優先度が低い

---

## よくある誤解・混同

### ❌ 誤解1：最も安全な認証方式
→ **違う**

- 盗聴には強い  
- でも万能ではない  

👉 「用途限定の対策」

---

### ❌ 誤解2：現代でも主流
→ **違う**

- 現在の主流は  
  - TLS（通信保護）  
  - 多要素認証（本人確認強化）

---

### ❌ 誤解3：多要素認証より優れている
→ **違う**

- チャレンジレスポンス：盗聴対策  
- 多要素認証：なりすまし対策  

👉 目的が違う

---

### SG試験のひっかけパターン
- 「安全だから広く使われている」→ ❌  
- 「現在の主流の認証方式」→ ❌  
- 「盗聴対策の一手法」→ ⭕  
- 「多要素認証の代替」→ ❌  

---

## まとめ（試験直前用）
- チャレンジレスポンス＝パスワードを送らない認証  
- 盗聴対策としては有効  
- しかし現在はTLSで代替されることが多い  
- 主流は「TLS＋多要素認証」  
- 「優秀＝主流ではない」で判断する