| 术语 | 一句话 | 尝试的材料 | 容易被攻破的对象 |
|---|---|---|---|
| 辞書攻撃 | 按顺序尝试人们常选的单词和字符串列表 | 攻击者准备的单词列表 | 直接拿有意义的单词当密码的人 |
| ブルートフォース攻撃 | 穷举尝试字符的所有组合 | 机械生成的全部组合 | 密码短、字符种类少的人 |
| パスワードリスト攻撃 | 在别的网站上尝试在其他地方泄露的 ID 和密码组合 | 泄露的真实组合 | 在多个网站重复使用同一组合的人 |
| クレデンシャルスタッフィング | 与密码列表攻击手法相同、源自英语的叫法 | 泄露的真实组合 | 在多个网站重复使用同一组合的人 |
字典攻击（辞書攻撃）是把人们常选作密码的单词和字符串汇成一份列表，再逐一尝试来猜中密码的攻击。
攻击者只准备人名、英语单词、常见数字序列等容易猜中的候选，所以有时尝试几次就能攻破。列表里没有的字符串猜不中，因此避开有意义的单词、改用随机字符串就能防范。
类比就像找备用钥匙的小偷，只翻花盆底下、信箱背后这些常藏钥匙的地方，其他地方一概不找。
记法这里的“字典”不是语文词典，而是攻击者准备的“常用密码单词本”。
考点
暴力破解攻击（ブルートフォース攻撃）是依次尝试可用字符的所有组合来破解密码的穷举（総当たり）攻击。
| 位数（小写英文字母和数字共 36 种） | 最多尝试次数 |
|---|---|
| 1 位 | 36 次 |
| 2 位 | 1,296 次（36 × 36） |
| 3 位 | 46,656 次（36 × 36 × 36） |
| 每增加 1 位 | 变为 36 倍 |
因为不筛选候选，只要花足够的时间，总能碰到正确的密码。可用字符有 n 种、位数为 k 时，组合数是 n 的 k 次方（k 个 n 相乘），位数或字符种类越多，尝试次数增长得越快。同一个 ID 连续输错达到一定次数后，让该 ID 暂时无法使用的机制叫作账户锁定（アカウントロック）。
类比就像要打开 3 位数的密码锁，从 000 到 999 依次全部拨一遍。
记法英语 brute force 意为“蛮力”。它不是靠技巧猜中，而是靠数量硬推过去的攻击。
考点
| 比较点 | 字典攻击 | 暴力破解攻击 |
|---|---|---|
| 关键尝试的候选 | 仅限常被选用的单词列表 | 字符的所有组合 |
| 尝试次数 | 只有列表那么多，相对较少 | 位数和字符种类越多，增长越快 |
| 未尝试而遗留的候选 | 列表中没有的字符串 | 没有 |
| 容易被攻破的密码 | 有意义的单词 | 短且字符种类少的密码 |
密码列表攻击（パスワードリスト攻撃）是利用在其他地方泄露的 ID 和密码组合列表，尝试登录别的网站的攻击。
只有在另一个网站也使用相同组合的用户，会在这一步被侵入。
攻击者不做猜测，而是直接输入实际用过的组合。在一个网站泄露的组合，在登记了同一组合的其他网站也能通过，这就是受害范围扩大的原因。
类比就像有人用同一把钥匙开家门、车门和储物柜，一旦弄丢这把钥匙，捡到的人就能把它们全部打开。
考点
| 比较点 | 暴力破解攻击 | 密码列表攻击 |
|---|---|---|
| 关键尝试的材料 | 机械生成的组合 | 在别处泄露的真实组合 |
| 针对 1 个 ID 的失败次数 | 大量持续 | 很少 |
| 有效的对策 | 账户锁定、长而复杂的密码 | 每个网站使用不同的密码 |
撞库攻击（クレデンシャルスタッフィング）是把泄露的认证信息（ID 和密码的组合）接连用于登录别的网站的攻击，与密码列表攻击指的是同一种手法。
无论用哪个名字，被利用的都是在别处泄露的真实组合。攻击者通常借助工具自动输入大量组合，一次泄露就可能导致许多网站出现非法登录。
记法credential = 认证信息，stuffing = 塞入。这个名字来自把泄露的认证信息一个接一个塞进登录栏的样子。
考点
从本单元的过去问中选 5 题
开始做确认题