辞書攻撃とは？

辞書攻撃の意味

実際に使われやすい単語や過去に流出したパスワードを集めた一覧を順に試す攻撃。人間が選ぶ文字列は空間全体に一様分布しないという性質を突くため、全探索より桁違いに少ない試行で当たることが多い。

辞書攻撃の具体例

単語の末尾に数字と記号を足す、文字をよく似た記号に置き換えるといった変形規則を辞書に適用する機能が解析ツールにはある。「P@ssw0rd1」のような文字種要件を満たす文字列も、規則で生成できるため即座に破られる。

辞書攻撃は試験でどう引っ掛けられる？

複雑さの要件を課しても、人間の変形パターンが規則化されている以上は効きにくい。長さを伸ばすほうが有効という結論につながる。またパスワードリスト攻撃は他サービスの正規の組を試す点で、辞書の中身の性質が異なる。

辞書攻撃と関連する用語

• ブルートフォース攻撃
• パスワードリスト攻撃
• レインボーテーブル攻撃

辞書攻撃が出た過去問

• 認証にクライアント証明書を用いるプロトコルはどれか。

  正解：EAP-TLS

  要点：クライアント証明書を必須とするのはEAP-TLS

  EAP-TLSは、サーバ証明書とクライアント証明書の双方を用いて相互認証を行う方式です。パスワードを使わないため、辞書攻撃や漏えいの影響を受けにくい反面、全クライアントへの証明書配布と管理が必要です。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問16（IPA）

• IEEE 802.1Xで使われるEAP-TLSが行う認証はどれか。

  正解：ディジタル証明書による認証サーバとクライアントの相互認証

  要点：EAP-TLSは証明書によるサーバ・クライアントの相互認証

  EAP-TLSは、IEEE 802.1XのEAP方式のうち、認証サーバとクライアントの双方がディジタル証明書を提示して相互に認証する方式である。パスワードを用いないため辞書攻撃やフィッシングに強い一方、全クライアントに証明書を配布・管理する運用負荷が生じる。

  出典：令和1年度 秋期 情報処理安全確保支援士試験 am2 問16（IPA）