チャレンジレスポンスとSSL/TLSの併用について

Question

お世話になります。

サーバ／クライアント方式のシステムで、TLS1.2でやり取りを行おうと考えています。
その際、パスワード認証方法にチャレンジレスポンス方式を取り入れてほしいという要求があるのですが、果たしてTLS通信下でチャレンジレスポンスを行うことに意味があるのでしょうか。

TLS1.2では、AESが標準という認識です（あっていますか？）が、セキュリティ的にそこにさらにチャレンジレスポンスを追加する必要があるのかが疑問です。

よろしくお願いいたします。

Answer 1

TLS 1.2 が将来的に 100% 安全とも限りませんし、多層で防御するのは意味はあると思います。
あとは、実装コスト、運用コストとの兼ね合いで判断すればいいかと思います。

Comments

[退会済みユーザー]

確かにそうですね。
ありがとうございます。