パスワードリスト攻撃｜科目A-1（応用情報技術者） 令和6年 秋期午前試験 問40
出典：令和6年秋期 午前 問40
分野：セキュリティ ／ 情報セキュリティ
パスワードリスト攻撃に該当するものはどれか。
- ア：一般的な単語や人名からパスワードのリストを作成し，インターネットバンキングへのログインを試行する。
- イ：想定し得るパスワードとそのハッシュ値との対のリストを用いて，入手したハッシュ値からパスワードを効率的に解析する。
- ウ：どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて，他のWebサイトに対してログインを試行する。
- エ：ピクチャパスワードの入力を録画してリスト化しておき，それを利用することによってタブレット端末へのログインを試行する。
TSUNAGARU-ADVICE
まず押さえたいこと
パスワードリスト攻撃は、あるサービスから流出した利用者IDとパスワードの組合せを、別のサービスへのログインに使う攻撃です。同じ認証情報を複数のサービスで使い回している利用者が狙われます。
迷ったときの判断軸
一般的な単語などを順番に試すのは辞書攻撃、ハッシュ値とパスワードの対応表を利用するのはレインボーテーブルを用いた解析です。パスワードリスト攻撃では、実際に流出したIDとパスワードの組合せを別サイトでも試すという点を判断材料にしましょう。
科目Bにつなげるために
特に情報処理安全確保支援士試験合格を目指す方は、パスワードリスト攻撃を認証情報の使い回しを悪用する攻撃として理解しましょう。サービスごとに異なるパスワードを設定することや、多要素認証、異常なログイン試行の検知などの対策にもつながります。
パスワードリスト攻撃とは、他のWebサイトなどから流出した利用者IDとパスワードの組合せを使って、別のWebサイトへのログインを試みる攻撃です。
同じ利用者IDやパスワードを複数のサービスで使い回している利用者がいることを悪用します。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：一般的な単語や人名からパスワードのリストを作成し，インターネットバンキングへのログインを試行する。
⇒辞書攻撃の説明です。辞書などにある一般的な単語や人名をパスワード候補として順番に試します。
イ：想定し得るパスワードとそのハッシュ値との対のリストを用いて，入手したハッシュ値からパスワードを効率的に解析する。
⇒レインボーテーブルを利用した攻撃の説明です。あらかじめ計算したパスワードとハッシュ値の対応関係を利用して解析を効率化します。
エ：ピクチャパスワードの入力を録画してリスト化しておき，それを利用することによってタブレット端末へのログインを試行する。
⇒入力操作を盗み見たり記録したりして認証情報を取得する手法に関する説明であり、流出したIDとパスワードの組合せを別サービスで試すパスワードリスト攻撃とは異なります。