正解は③の「AもBも正しい」です。Aは正しく、PAPはユーザIDとパスワードを暗号化せずに送る単純な認証方式です。Bも正しく、CHAPは認証側が送るチャレンジ値と共有秘密から応答を計算し、パスワード自体を回線へ流しません。そのため盗聴に対してPAPより安全です。ただし共有秘密の管理や十分なハッシュ強度は別途必要であり、CHAPだけで通信内容全体が暗号化されるわけではありません。