正解：ウ
各選択肢の解説
アパスワードの最低文字数を長くし、記号を1文字以上含める規則にする。
誤り。総当たりや推測による突破を防ぐ対策です。強くしても入力内容が変わらない ため、のぞき見で読み取られればそのまま使われます。今回の目的には届きません。
イログインの失敗が続いた利用者のアカウントを、一定時間使えなくする。
誤り。アカウントロックは、間違ったパスワードを何度も試す攻撃を止める対策です。 正しいパスワードを盗み見た相手は一度で成功するため、ロックは働きません。
ウログインのたびに発行され、一度使うと無効になるパスワードを使う。
正解。ワンタイムパスワードは使い捨てなので、のぞき見で読み取られても、 次のログインでは通用しません。盗まれた時点で価値がなくなる点が要です。
エパスワードを90日ごとに変更するよう、システム側で利用者に促す。
誤り。次の変更までは同じ値が有効なので、のぞき見された直後に使われるのは防げ ません。そもそも定期変更は、現在の公的な指針では一律には求められていません。
理解を深めるために
「使い捨て」だから、盗まれても次には使えない
普段のパスワードは、変更するまで何度でも使える固定の値です。 いったん他人に知られると、知られたことに気づくまで、 その人はいつでも本人のふりをしてログインできます。
ワンタイムパスワードは、ここを根本から変えます。 ログインのたびに違う値が発行され、一度使えば無効になり、 多くの場合は数十秒から数分で期限切れになります。 使い終わった値は、盗み見られても盗聴されても、もう鍵の役割を果たしません。
どう受け取るか
- 専用アプリやトークン（生成器）が、時刻をもとに一定間隔で値を作る
- 登録したスマートフォンへ、ログインのたびに確認コードが届く
いずれも「本人が持っている物」がないと値を受け取れないため、 記憶しているパスワードと組み合わせれば多要素認証にもなります。
似た対策との違い
| 対策 | 何を防ぐか |
|---|---|
| ワンタイムパスワード | 盗み見・盗聴された値の再利用 |
| パスワードの長さ・文字種の強化 | 推測や総当たりによる突破 |
| アカウントロック | 誤ったパスワードを繰り返し試す攻撃 |
この3つは守る相手が違うだけで、いずれも役割があります。
一方、パスワードの定期変更は、現在の指針では一律には求められていません。 総務省の案内や米国NISTの指針は、漏えいの兆候がない限り定期的な変更を 要求しないとしています。定期的に変えさせると、利用者が規則性のある値を 使うようになり、かえって推測されやすくなるためです。かつて広く行われた 運用なので、古い教材では推奨として残っていることがあります。
試験では「盗み見・盗聴されても悪用されない」という条件が出たら、 値そのものが一回限りで無効になる仕組み、つまりワンタイムパスワードを選びます。