問63
頻出度★★★
パスワード管理に関する記述のうち, 適切なものはどれか。
平成30年度 春期 ITパスポート試験 問63
この問題の解説と、これまでの解答の記録です。
解説
問 63
- ア
正解 正解は「ア」。業務システムのパスワードを私的なインターネットサービスで使い回さないのは、パスワード管理の基本原則です。もし私的サービス側から情報が漏えいすると、同じパスワードを使っていた業務システムまで不正アクセスの危険にさらされます（いわゆるパスワードリスト攻撃）。用途ごとに異なるパスワードを設定して被害の連鎖を断つのが適切な運用であり、「ア」だけがこの原則に沿っています。
不正解イ
初期パスワードは管理者が設定した既定値で、複数の利用者に知られている可能性があり推測もされやすいものです。ログイン操作に慣れるまで放置するのではなく、初回ログイン時にただちに本人だけが知る値へ変更するのが正しく、これは不適切です。
不正解ウ
数個のパスワードを使い回すと、そのうち一つが漏えいしただけで複数のシステムが同時に危険にさらされます。使い回しはパスワードリスト攻撃の被害を広げる典型的な悪例であり、適切ではありません。
不正解エ
パスワードを平文（暗号化していないそのままの文字列）でファイルに保存すると、PC を盗まれたりマルウェアに侵入されたりした際に容易に読み取られてしまいます。パスワードは平文で保存しないのが原則で、これは不適切です。
ここがポイント
- パスワードは用途（システム）ごとに異なる値を使い、使い回さない。1か所の漏えいが他へ波及するのを防ぐ（パスワードリスト攻撃対策）。
- 初期パスワードは初回ログイン時に速やかに変更し、平文での保存は避けるのが基本原則。
用語