パスワードクラック（辞書攻撃・総当たり攻撃）とは？

パスワードクラック（辞書攻撃・総当たり攻撃）の意味

不正にパスワードを割り出そうとする攻撃手法。辞書攻撃は辞書に載っている単語や、よく使われる文字列を順に試す方法。総当たり攻撃（ブルートフォース攻撃）は、考えられるすべての文字の組み合わせを機械的に試す方法。

パスワードクラック（辞書攻撃・総当たり攻撃）の具体例

単純な単語や誕生日などをパスワードに使うと辞書攻撃で短時間で破られやすいため、意味を持たない長い文字列や、複数種類の文字を組み合わせたパスワードが推奨される。

パスワードクラック（辞書攻撃・総当たり攻撃）は試験でどう引っ掛けられる？

一定回数のログイン失敗でアカウントを一時的にロックする「アカウントロック」機能は、総当たり攻撃への有効な対策の1つとして問われやすい。

パスワードクラック（辞書攻撃・総当たり攻撃）と関連する用語

• 利用者認証（多要素認証・バイオメトリクス認証）

パスワードクラック（辞書攻撃・総当たり攻撃）が出た過去問

• a～cのうち、フィッシングへの対策として、適切なものだけを全て挙げたものはどれか。 a Webサイトなどで、個人情報を入力する場合は、SSL接続であること、及び…

  正解：a, b

  要点：フィッシング対策の要は接続先の正当性確認。パスワード強化では防げない

  フィッシングは、本物そっくりの偽サイトへ誘導して認証情報などを入力させる詐欺である。aのSSL接続とサーバ証明書の確認は接続先が本物かを見抜く直接的な対策、bの別手段による真偽確認も誘導メールに対する有効な対策である。cのパスワードを長く複雑にすることは総当たり攻撃には有効だが、本人が偽サイトへ入力してしまうフィッシングでは効果がない。

  出典：平成24年度 春期 ITパスポート試験 問66（IPA）

• パスワードの解読方法の一つとして、全ての文字の組合せを試みる総当たり攻撃がある。“0”から“9”の10種類の文字を使用できるパスワードにおいて、桁数を4桁から6…

  正解：100

  要点：10種類2桁増で試行回数は100倍（10のn乗）

  使える文字が10種類なので、桁数nのパスワードの総数は10のn乗になる。4桁なら1万通り、6桁なら100万通りであり、最大試行回数は100万÷1万で100倍になる。桁数を2桁増やすと、文字種の2乗すなわち10×10倍に膨らむということである。

  出典：平成26年度 春期 ITパスポート試験 問51（IPA）

• 情報システムに対する攻撃のうち，あるIDに対して所定の回数を超えてパスワードの入力を間違えたとき，当該IDの使用を停止させることが有効な防衛手段となるものはどれ…

  正解：総当たり攻撃

  要点：総当たり攻撃にはアカウントロックが有効

  総当たり攻撃は、考えられるパスワードを次々に試して正解を探す手口なので、誤入力が一定回数続いたらアカウントを停止する仕組みが有効に働く。DoS攻撃やSQLインジェクション、フィッシングは、いずれもパスワードの試行回数制限とは対策の性質が異なる。

  出典：平成28年度 秋期 ITパスポート試験 問83（IPA）

• フィッシングの説明として、適切なものはどれか。

  正解：金融機関などからの電子メールを装い、偽サイトに誘導して暗証番号やクレジットカード番号などを不正に取得すること

  要点：フィッシングは偽メール・偽サイトで本人に情報を入力させる

  フィッシングは、実在する金融機関や事業者を装ったメールなどで偽サイトへ誘い込み、利用者自身に暗証番号やカード番号を入力させて詐取する手口である。利用者を信じ込ませて情報を入力させる点が特徴。遠隔から指令を送る手口はボット、辞書データによる推測は辞書攻撃、大量のパケットで停止させるのはDDoS攻撃である。

  出典：平成28年度 春期 ITパスポート試験 問63（IPA）

• 情報セキュリティを脅かすもののうち，ソフトウェアの脆弱性を修正するパッチを適用することが最も有効な対策となるものはどれか。

  正解：バッファオーバフロー

  要点：バッファオーバフローはプログラムの欠陥。修正パッチが有効

  バッファオーバフローは、プログラムが確保した領域を超えるデータを書き込んでしまう実装上の不具合を突く攻撃で、原因はソフトウェアそのものの欠陥にある。したがって修正パッチの適用が最も直接的で有効な対策になる。総当たり攻撃はパスワード強度や試行回数制限、ソーシャルエンジニアリングは教育と運用ルール、ポートスキャンはファイアウォールなど、対策の性質が異なる。

  出典：平成29年度 春期 ITパスポート試験 問80（IPA）