ストレッチング｜科目A-1（応用情報技術者） 令和7年 春期午前試験 問44
出典：令和7年春期 午前 問44
分野：セキュリティ ／ セキュリティ実装技術
パスワードクラックの対策のうち，ストレッチングに該当するものはどれか。
- ア：あらかじめ利用者だけが知っている質問と答えをシステムに登録しておき，普段と異なるログイン方法の場合に追加で質問を行う。
- イ：一定時間内にパスワードを一定回数誤ったとき，それ以降のログインを試行できないようにする。
- ウ：パスワードの照合のためのハッシュ値を，パスワードに対してハッシュ化を繰り返して，求める。
- エ：パスワードの照合のためのハッシュ値を，パスワードに利用者IDごとに異なる文字列を付加してからハッシュ化して，求める。
TSUNAGARU-ADVICE
まず押さえたいこと
ストレッチングは、パスワードに対するハッシュ計算を何度も繰り返すことで、1回の照合に必要な計算量を増やす対策です。正規利用者への影響は小さく抑えつつ、大量の候補を試すパスワードクラックを困難にします。
迷ったときの判断軸
「ハッシュ化を繰り返す」がストレッチングです。利用者ごとに異なる文字列を付加してからハッシュ化する方法はソルト、試行回数を制限する方法はアカウントロック、追加の質問を行う方法は本人確認を強化する仕組みです。
科目Bにつなげるために
特に情報処理安全確保支援士試験合格を目指す方は、パスワード保存では、ソルトで同じパスワードから同じハッシュ値が生成されることを防ぎ、ストレッチングで総当たりに必要な時間を増やすという役割分担を押さえましょう。
ストレッチングとは、パスワードに対するハッシュ計算を何度も繰り返し、ハッシュ値を求める処理です。
正規のログイン時にも計算時間は増えますが、攻撃者が多数のパスワード候補を試す際にも、候補一つひとつについて同じ回数のハッシュ計算が必要になります。そのため、辞書攻撃や総当たり攻撃に掛かる時間を増やせます。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：あらかじめ利用者だけが知っている質問と答えをシステムに登録しておき，普段と異なるログイン方法の場合に追加で質問を行う。
⇒秘密の質問を用いた追加認証の説明です。ハッシュ計算を繰り返すストレッチングではありません。
イ：一定時間内にパスワードを一定回数誤ったとき，それ以降のログインを試行できないようにする。
⇒アカウントロックの説明です。オンラインでのパスワード試行回数を制限する対策であり、保存するハッシュ値の生成方法ではありません。
エ：パスワードの照合のためのハッシュ値を，パスワードに利用者IDごとに異なる文字列を付加してからハッシュ化して，求める。
⇒ソルトの説明です。利用者ごとに異なる文字列をパスワードへ付加してからハッシュ化し、同じパスワードでも異なるハッシュ値になるようにします。