チャレンジレスポンス認証 とは？

パスワードを直接送ると盗聴されるリスクがある。チャレンジレスポンスはパスワード本体は送らず「このランダム値とパスワードを組み合わせたハッシュを計算して」という問いに正しく答えられるかで認証する。

毎回異なるチャレンジ値が使われるから、傍受したレスポンスを次回使い回せない（リプレイ攻撃対策）。ただしチャレンジレスポンスだけでは中間者攻撃には弱いから、TLSなどと組み合わせるのが安全。

そう、広義では。「歪んだ文字を読んで入力して」や「信号機の画像を選んで」が「チャレンジ」で、正しく答えられれば「人間だと認証（レスポンス）」という仕組みだから同じ考え方だよ。

パスワード認証はパスワードそのものをネットワークに流すから、盗聴されるとアウト。チャレンジレスポンスはパスワード自体を送らず、サーバーが毎回ランダムなチャレンジを出してクライアントがパスワードと組み合わせたハッシュを返すから、盗聴されても再利用できないんだ。Wi-FiのWPA2認証もこの仕組みを使っているよ。実はHTTPのDigest認証もチャレンジレスポンス方式だけど、現在ではTLS（HTTPS）で通信路ごと暗号化するのが主流になったから、あまり使われなくなったんだ。