平成27年度 春期 午前 問39

✓ これが正解ウどこかの Web サイトから流出した利用者 ID とパスワードのリストを用いて，他の Web サイトに対してログインを試行する。

解説

他所で漏れた本物の組を、別のサイトで試します。

設問は、パスワードリスト攻撃に該当するものを選ばせています。ここで気をつけたいのは、四つの記述すべてにリストという語が出てくることです。語の一致で選ぶと必ず外しますから、分かれ目は、そのリストがどこから来たかに置きます。パスワードリスト攻撃で使われるのは、どこかのWebサイトから実際に流出した、本物の利用者IDとパスワードの組です。これを別のWebサイトでそのまま試すと、一定の割合で通ってしまいます。成り立つ理由は、利用者が複数のサイトで同じ組を使い回しているからです。攻撃する側から見ると、当たる確率が高いぶん試す回数が少なくて済みます。総当たりや辞書攻撃が一つのIDに何度も試すのに対し、こちらは多数のIDに一回ずつ試しますから、何度も失敗したら止めるという形の防御に引っかかりにくくなります。だからこそ、使い回しをやめることと、パスワードだけでは通さない多要素認証を足すことが効きます。

ほかの選択肢はなぜ違うのか

• ア一般的な単語や人名からパスワードのリスト…：一般的な単語や人名から作ったものを順に試す方法です。手元にあるのは攻撃する側が自分で用意した推測であって、実際に使われている本物ではありません。ここが分かれ目になります。
• イ想定され得るパスワードとそのハッシュ値と…：想定され得るパスワードとハッシュ値の対をあらかじめ用意しておき、入手したハッシュ値から元の値を効率よく解析するレインボーテーブル攻撃です。狙う場所がログイン画面ではない点で外れます。
• エピクチャパスワードの入力を録画してリスト…：ピクチャパスワードの入力を録画してためておき、それを使ってタブレット端末へのログインを試す方法で、覗き見の類にあたります。手元にあるのは自分で撮影した記録であり、流出した組ではありません。