平成28年度 秋期 午前 問26
サイバー攻撃手法とマルウェア
パスワードリスト攻撃に関する問題
パスワードリスト攻撃に該当するものはどれか。
- ア一般的な単語や人名からパスワードのリストを作成し，インターネットバンキングへのログインを試行する。
- イ想定し得るパスワードとそのハッシュ値との対のリストを用いて，入手したハッシュ値からパスワードを効率的に解析する。
- ウどこかのWebサイトから流出した利用者IDとパスワードのリストを用いて，他のWebサイトに対してログインを試行する。
- エピクチャパスワードの入力を録画してリスト化しておき，それを利用することによってタブレット端末へのログインを試行する。
答えと解説を見る
✓ これが正解ウどこかのWebサイトから流出した利用者IDとパスワードのリストを用いて，他のWebサイトに対してログインを試行する。
解説
他サイトから流出したIDとパスワードを使い回して試す攻撃です。
パスワードリスト攻撃は、どこかのWebサイトから流出した利用者IDとパスワードの組みを攻撃者が手に入れ、その同じ組みを別のWebサイトのログインで試す攻撃です。同じ組合せを複数のサービスで使い回している利用者が多い、という実態を突いています。実在する正しい組みをそのまま入力するので、当てずっぽうを繰り返す攻撃と比べて試行回数が少なくて済み、失敗の連続を見張るアカウントロックにも掛かりにくいのが厄介な点です。利用者側の基本の備えは、サービスごとに違うパスワードを使い、使い回しをやめることです。
ほかの選択肢はなぜ違うのか
- ア一般的な単語や人名からパスワードのリスト…：一般的な単語や人名を並べた一覧から当たりそうなパスワードを推測して試すやり方は、辞書攻撃と呼ばれます。あらかじめ用意するのは語句の一覧であって、実際にどこかから漏れた認証情報ではありません。
- イ想定し得るパスワードとそのハッシュ値との…：想定し得るパスワードとそのハッシュ値の対をあらかじめ計算した表を持っておき、入手したハッシュ値から元の値を割り出す手法は、レインボーテーブル攻撃と呼ばれます。ログイン画面に認証情報を入力していく攻撃ではありません。
- エピクチャパスワードの入力を録画してリスト…：ピクチャパスワードの入力の様子を録画して一覧にしておく行為は、他人の操作を盗み見て認証の手掛かりを得るやり方です。別のサイトから漏れた認証情報を持ち込んで試すという形にはなっていません。
この問題の用語
- パスワードリスト攻撃他のサイトから流出した、実在する利用者IDとパスワードの組を使ってログインを試す攻撃。同じ組を使い回している人だけが破られます。
- 辞書攻撃辞書に載っている単語や人名など、ありがちな語をパスワードとして試す攻撃。候補を攻撃者が作る点が、流出品を使うパスワードリスト攻撃と違います。
- クレデンシャルスタッフィング流出したIDとパスワードの組を、別のサイトで試していく攻撃です。パスワードリスト攻撃とも呼ばれ、使い回しを狙います。
- ログいつ誰が何をしたかを、機器やソフトウェアが自動で残していく記録です。あとから出来事をたどれるので、事故の調査や不正の発見に使われます。
- ハッシュ値データから計算した固定長の値のこと。同じデータなら必ず同じ値になるので、データの比較や検索を速くするのに使われます。
- 利用者IDシステムが利用者を見分けるための名前。パスワードと組にして本人確認に使い、記録を誰の操作かに結び付けます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問26
同じ用語が出る問題
- 令和5年度 科目A 問5：SHA-256に関する問題（ハッシュ値）
- 科目A・B サンプル問題 科目A 問16（パスワードリスト攻撃）
- 平成31年度 春期 午前 問16（パスワードリスト攻撃）
- 平成29年度 春期 午前 問21：ソーシャルエンジニアリングの問題（辞書攻撃）
- 平成29年度 春期 午前 問16：辞書攻撃に関する問題（辞書攻撃）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）