問81
頻出度★★★
Web サーバの認証において, 同じ利用者 ID に対してパスワードの誤りがあらかじめ定められた回数連続して発生した場合に, その利用者 ID を自動的に一定期間利用停止にするセキュリティ対策を行った。この対策によって, 最も防御の効果が期待できる攻撃はどれか。
平成29年度 春期 ITパスポート試験 問81
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 81
不正解ア
ゼロデイ攻撃は、修正プログラム（パッチ）が提供される前の未知の脆弱性を突く攻撃であり、パスワードの連続入力とは無関係。アカウントロックでは防げない。
不正解イ
パスワードリスト攻撃は、他サービスから流出した「利用者 ID とパスワードの正しい組合せ」の一覧を使い回して不正ログインを試みる攻撃。正しいパスワードを 1 回で入力できるため、誤り回数によるロックが働きにくく、この対策の効果は限定的。
不正解ウ
バッファオーバフロー攻撃は、想定を超える長さのデータを送り込んでメモリ領域をあふれさせ、不正なコードを実行させる攻撃であり、認証時のパスワード誤り回数とは無関係。アカウントロックでは防げない。
- エ
正解 正解は「エ ブルートフォース攻撃」。ブルートフォース攻撃（総当たり攻撃）は、同じ利用者 ID に対してパスワードの組合せを片端から次々と試し、正しい値に当たるまで繰り返す攻撃である。設問の対策は「同じ利用者 ID でパスワードの誤りが一定回数連続したら、その ID を自動的に一定期間利用停止（アカウントロック）にする」もので、試行を続けても短時間で ID がロックされ、それ以上パスワードを試せなくなる。したがって、多数の連続した誤り試行を前提とするブルートフォース攻撃に対して、最も防御の効果が期待できる。
ここがポイント
- アカウントロック（一定回数の連続した認証失敗で ID を一時停止）は、総当たりでパスワードを試すブルートフォース攻撃への基本的な対策である。
- ブルートフォース攻撃は「同じ ID に多数のパスワードを試す＝誤りが連続する」のに対し、パスワードリスト攻撃は「正しい組合せを使うため誤りが連続しにくい」点が両者の違い。
用語