問95
頻出度★★★
あるWebサイトからIDとパスワードが漏えいし, そのWebサイトの利用者が別のWebサイトで, パスワードリスト攻撃の被害に遭ってしまった。このとき, Webサイトで使用していたIDとパスワードに関する問題点と思われる記述はどれか。
平成29年度 春期 ITパスポート試験 問95
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 95
错误ア
「未加密的通信」讲的是通信链路上被窃听（被中间人截获）的风险。而本题的受害，是攻击者把已经从另一个网站泄露的 ID、密码组合拿到别的网站上重复使用而造成的。通信是否加密与密码列表攻击能否成立无关，因此作为问题点并不恰当。
- イ
正解 密码列表攻击（撞库攻击）是指攻击者把从某个网站泄露的「ID 与密码的组合」，原封不动地拿到另一个网站的登录页面上逐一尝试的攻击。这种攻击之所以能在另一个网站上成功，正说明受害者在两个网站上都重复使用了「相同的 ID 和相同的密码」。从一个网站泄露出来的组合，在另一个网站上竟然也能作为正确的认证信息通过验证。因此问题点在于「设置（重复使用）了相同的 ID 和相同的密码」，故选项イ正确。
错误ウ
「字符种类少（字符种类贫乏）」的密码，其弱点在于容易被暴力破解或字典攻击猜出。但密码列表攻击是直接使用泄露出来的「正确密码本身」，字符种类的多少与受害成败无关。因此这并不是本案例的直接问题点。
错误エ
「过短的密码」同样是位数越少越容易被暴力破解的弱点，与ウ属于同一类问题。密码列表攻击沿用的是已知的正确密码，因此密码长短与它无关。所以这并不是本案例所问的问题点。
ここがポイント
- 密码列表攻击（撞库攻击）的定义：把从某处泄露的 ID、密码组合，原封不动地拿到别的网站登录页去尝试的攻击。ID、密码的「重复使用」是受害的前提。
- 对策要点：不要在多个网站上重复使用同一个 ID 和密码，而应为每个网站设置不同的密码。这与靠字符数或字符种类来提升强度（防暴力破解）是不同的角度。
用語