特定のサービスやシステムから流出した認証情報を攻撃者が用いて、認証情報を複数のサービスやシステムで使い回している利用者のアカウントへのログインを試みる攻撃はどれか。

選択肢

• アパスワードリスト攻撃
• イブルートフォース攻撃
• ウリバースブルートフォース攻撃
• エレインボーテーブル攻撃

正解と解説

正解：ア パスワードリスト攻撃

パスワードリスト攻撃は、他所から流出した利用者IDとパスワードの組をそのまま別のサービスで試すものである。同じ組合せを使い回している利用者がいる限り、少ない試行で成功するため、回数制限だけでは防ぎにくい。利用者側でのパスワード使い回しの回避と、多要素認証の導入が有効な対策になる。

選択肢ごとの解説

• ア正解。流出済みの認証情報をそのまま他サービスで試し、使い回しを突く攻撃である。
• イ考えうるパスワードを片端から試す総当たり攻撃で、流出情報は用いない。
• ウ一つのパスワードを固定して多数のIDに試す手法。流出リストの利用が前提ではない。
• エ事前計算したハッシュの対応表からパスワードを逆引きする手法である。

同じ分野の他の問題

• リバースブルートフォース攻撃に該当するものはどれか。2019年度 秋期 午前 問19
• 特定のサービスやシステムから流出した認証情報を攻撃者が用いて、認証情報を複数のサービスやシステムで使い回している利用者の…2019年度 春期 午前 問16
• 暗号解読の手法のうち，ブルートフォース攻撃はどれか。2018年度 春期 午前 問27
• サーバへのログイン時に用いるパスワードを不正に取得しようとする攻撃とその対策の組合せのうち、適切なものはどれか。2017年度 春期 午前 問16
• パスワードリスト攻撃に該当するものはどれか。2016年度 秋期 午前 問26