(追記 2017/08/30): 「復号化」から「復号」に訂正しました。
パスワードを平文で流したくないだけならチャレンジ文字列加えてハッシュ化するという手順で十分なんですもの…。
キーワード「チャレンジ文字列」というのを初めて知った。勉強になった。
チャレンジ/レスポンス方式では、まず認証を受けたいクライアントが認証要求をサーバに送り、サーバはそれに対しランダムな数値列（「チャレンジ」と呼ばれる）を返信する。
ランダムな数値とあるが、復号する時に相手側はチャレンジ文字列を必要とするのではないだろうか？
チャレンジ文字列も一緒に送るわけにもいかないだろうが。
よくわからない。