パスワード・認証を狙う攻撃

辞書攻撃 は、人がパスワードに選びがちな単語や文字列を集めた 一覧 を順に試して、パスワードを当てる攻撃である。

攻撃者は名前・英単語・よくある数字の並びなど、当たりやすい候補だけを用意するので、少ない試行で破れることがある。一覧に載っていない文字列は当たらないため、意味のある単語を避けてランダムな文字列にすることが対策になる。

たとえ合鍵を探す空き巣が、植木鉢の下や郵便受けの裏など、よく隠される場所だけを見て回り、それ以外の場所は探さないようなもの。

覚え方ここでの「辞書」は国語辞典ではなく、攻撃者が用意した「よく使われるパスワードの単語帳」のこと。

この用語の過去問 1 題 辞書攻撃 →

ブルートフォース攻撃 は、使える文字のあらゆる組合せを順に試してパスワードを割り出す 総当たり の攻撃である。

候補を絞らないので、時間さえかければいつかは正しいパスワードに行き着く。使える文字が n 種類で桁数が k のとき、組合せの数は n を k 個掛け合わせた値になり、桁や文字の種類が増えるほど試行回数は急に増える。同じ ID で入力の誤りが一定回数続くと、その ID をしばらく使えなくする仕組みを アカウントロック という。

たとえ3 桁のダイヤル錠を、000 から 999 まで順に全部回して開けようとするようなもの。

覚え方英語の brute force は「力ずく」。工夫で当てるのではなく、数で押し切る攻撃。

この用語の過去問 3 題 ブルートフォース攻撃 →

パスワードリスト攻撃 は、他所で 漏えい した ID とパスワードの組の一覧を使って、別のサイトへのログインを試す攻撃である。

攻撃者は推測をせず、実際に使われていた組をそのまま入力する。1 つのサイトで漏れた組が、同じ組を登録している別のサイトでも通ってしまう点が、被害が広がる理由である。

たとえ家・車・ロッカーを 1 本の同じ鍵で開けている人がその鍵を落とすと、拾った人に全部を開けられてしまうようなもの。

この用語の過去問 2 題 パスワードリスト攻撃 →

クレデンシャルスタッフィング は、漏えいした 認証情報 (ID とパスワードの組) を別のサイトのログインに次々と試す攻撃で、パスワードリスト攻撃と同じ手口を指す。

どちらの名前で呼んでも、使われるのは別の場所で漏れた実在の組である。多数の組をツールで自動的に入力することが多く、1 回の漏えいが多くのサイトでの不正ログインにつながる。

覚え方credential = 認証情報、stuffing = 詰め込み。漏えいした認証情報をログイン欄に次々と詰め込む様子から付いた名前。

この用語の過去問 2 題 クレデンシャルスタッフィング →