令和7年度 秋期 午前Ⅱ 問2

✓ これが正解イパスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。

解説

パスワードのハッシュ値そのものを渡してログインする攻撃です。

Pass the Hash 攻撃は、名前のとおりパスワードのハッシュ値をそのまま相手に渡す攻撃です。認証方式によっては、ハッシュ値さえ持っていれば平文パスワードを知らなくても認証が通ります。攻撃者は、侵入した端末のメモリなどから盗んだハッシュ値を使って、ほかのサーバへログインします。見分ける軸は、平文パスワードを取り戻す手順を含むかどうかです。この攻撃は平文を復元しないので、パスワードを複雑にしても防げない点が特徴です。

ほかの選択肢はなぜ違うのか

• アパスワードのハッシュ値から導出された平文…：ハッシュ値を解析して平文パスワードを導き出し、それを入力してログインする手口は、パスワードの復元を狙う攻撃です。平文を手に入れてから使うので、ハッシュ値そのものを渡す手口とは手順が異なります。
• ウパスワードを固定し，利用者 ID の文字…：パスワードを1つに固定し、利用者 ID の側を次々に変えて試す手口は、総当たりの向きを逆にした攻撃です。利用者 ID をハッシュ化する手順を挟んでも、盗んだハッシュ値を使う要素はありません。
• エハッシュ化されずに保存されている平文パス…：ハッシュ化されずに保存された平文パスワードを盗んで使う手口は、パスワードの保存方法の不備を突く攻撃です。盗んだ平文を普通に入力するだけなので、ハッシュ値を使う要素がありません。