本ユニットでは、ID・パスワードによる認証を突破しようとする代表的な攻撃を学びます。語句を試す辞書攻撃から、全数を試すブルートフォース攻撃、さらに漏えいした認証情報を使い回すパスワードリスト攻撃・クレデンシャルスタッフィングへと、手口の進化を順に押さえます。認証はセキュリティの入口であり、出題頻度の高い重要分野です。
辞書の単語など使われやすい語句を順に試してパスワードを破る攻撃。
辞書攻撃は、辞書に載っている単語や「password」「123456」のようによく使われる文字列をあらかじめリスト化し、それを順に試して正しいパスワードを当てる攻撃です。 人間が覚えやすい単語をパスワードにしがちな心理を突くため、意味のある語をそのまま使うと破られやすくなります。試験では、考えうる文字の組み合わせをすべて試すブルートフォース攻撃との違い(辞書=ありそうな語に絞る、ブルートフォース=全数を試す)が問われます。対策は、辞書に載らない複雑で長いパスワードにすることです。
たとえ鍵の暗証番号を「誕生日」「1234」など、人がよく使いそうな番号から優先して試していく泥棒のようなものです。ありがちな候補を狙い撃ちします。
記憶フック辞書攻撃といえばありそうな語句を順に試す推測攻撃
考えうる文字の組み合わせを総当たりで試してパスワードを破る攻撃。
ブルートフォース攻撃(総当たり攻撃)は、考えられる文字・数字・記号の組み合わせを片端からすべて試し、力ずくでパスワードを割り出す攻撃です。時間さえかければ理論上は必ず正解に到達します。 パスワードが短いほど組み合わせが少なく短時間で破られ、長く複雑なほど試行回数が爆発的に増えて破りにくくなります。試験では、語句に絞る辞書攻撃との違いや、対策として「一定回数失敗でロックするアカウントロック」「パスワードの長文字数化」が問われます。逆に正しいパスワードを固定し利用者IDを次々試すリバースブルートフォース攻撃も押さえておきましょう。
たとえダイヤル錠を0000から9999まで順番にすべて回して開けようとするようなもの。手間はかかりますが、いつかは必ず合う番号にたどり着きます。
記憶フックブルートフォース攻撃といえば全組み合わせを総当たり
他所から漏えいしたID・パスワードの一覧を別サイトで試す攻撃。
パスワードリスト攻撃は、どこかのサービスから漏えい・流出したID とパスワードの組をリスト化し、それを使って別のサービスへのログインを試みる攻撃です。推測ではなく「実在した正しい組」を使う点が特徴です。 複数のサイトで同じID・パスワードを使い回している利用者が被害に遭いやすく、1つの漏えいが芋づる式に他サービスの不正ログインへ波及します。試験では、推測で当てる辞書攻撃・ブルートフォース攻撃との違い(リスト攻撃=漏えい情報の再利用)と、対策が「パスワードの使い回しをやめる」「多要素認証」である点が問われます。
たとえあるマンションで拾った鍵束を、別のマンションの同じ住人の部屋でも試してみる空き巣のようなもの。同じ鍵を使い回していると次々と開いてしまいます。
記憶フックパスワードリスト攻撃といえば漏えい情報の使い回し悪用
漏えいした認証情報を自動化ツールで大量・多サイトに試す攻撃。
クレデンシャルスタッフィングは、漏えいしたID・パスワードの組(クレデンシャル)を、自動化されたツールを使って多数のサイトへ大規模かつ高速に試す攻撃です。パスワードリスト攻撃を機械化・大規模化したものといえます。 ボットで何万件もの組を一気に試すため、使い回しのある利用者が広範囲で同時に被害を受けます。試験では、人手による試行ではなく自動化・大量試行である点、パスワードの使い回しを前提とする点が問われます。対策は使い回しの回避・多要素認証に加え、不審なアクセスを検知する仕組みです。
たとえ拾った大量の鍵束を、ロボットが手分けして街じゅうの家の鍵穴に片端から差し込んでいくようなもの。人手では無理な規模を機械で一気にこなします。
記憶フッククレデンシャルスタッフィングといえばリスト攻撃の自動化・大規模版
関連の過去問演習は今後のアップデートで追加予定です。