パスワードリスト攻撃は何を使って見分ける？
基本情報技術者試験 平成31年度春期 午前 問37 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
パスワードリスト攻撃の手口に該当するものはどれか。
- ア
辞書にある単語をパスワードに設定している利用者がいる状況に着目して，攻撃対象とする利用者IDを一つ定め，辞書にある単語やその組合せをパスワードとして，ログインを試行する。
- イ
パスワードの文字数の上限が小さいWebサイトに対して，攻撃対象とする利用者IDを一つ定め，文字を組み合わせたパスワードを総当たりして，ログインを試行する。
- ウ
複数サイトで同一の利用者IDとパスワードを使っている利用者がいる状況に着目して，不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて，ログインを試行する。
- エ
よく用いられるパスワードを一つ定め，文字を組み合わせた利用者IDを総当たりして，ログインを試行する。
会話形式の解説
講師この問題では、ログインを試すときに何を使っているかに注目します。
受験者どれも何度もログインを試すので、違いが分かりにくいです。
講師まず、他サイトから不正に取得した一覧表を使う方法では、何が一覧になっていますか。
受験者利用者IDとパスワードの組です。同じ組を別のサイトでも試しています。
講師そのとおりです。複数サイトで同じ認証情報を使う利用者がいることを利用するので、これがパスワードリスト攻撃です。
受験者辞書の単語を試す方法も、パスワードの一覧を使っているように見えます。
講師そこは紛らわしいですね。辞書の単語やその組合せからパスワード候補を作り、一つの利用者IDで試す方法は辞書攻撃です。入手済みのIDとパスワードの組は使っていません。
受験者文字を組み合わせて順に試す方法も、利用者IDを一つに定めていますね。
講師はい。ただし、こちらはパスワード候補を総当たりしています。辞書の単語を使う方法とも、入手済みの組を使う方法とも異なります。
受験者パスワードを一つに固定して利用者IDを変える方法は、どう判断しますか。
講師それも入手済みのIDとパスワードの組を試す方法ではありません。変えているのは利用者IDのほうです。
受験者何を固定し、何を変えるかに加えて、入手済みの組を使うかを確かめれば区別できますね。
講師そうです。特に、パスワード候補の一覧と、利用者IDとパスワードの組の一覧を取り違えないようにしましょう。
まとめ
正解はウです。他サイトから不正に取得した利用者IDとパスワードの組を別サイトで試す方法が、パスワードリスト攻撃に該当します。辞書の単語をパスワード候補にする方法は辞書攻撃、文字の組合せを順に試す方法は総当たり攻撃です。パスワードを固定して利用者IDを変える方法も、入手済みの組を使う方法とは異なります。
解答・解説
正解はウです
この問題のテーマ
パスワードリスト攻撃を、辞書攻撃や総当たり攻撃と区別する問題です。
解き方の考え方
何を入手してログインに使うかを確認します。入手済みの利用者IDとパスワードの組を別サイトで試すなら、パスワードリスト攻撃です。候補のパスワードを作って試す方法とは区別します。
選択肢ごとの解説
- ×ア 辞書にある単語をパスワードに設定している利用者がいる状況に着目して，攻撃対象とする利用者IDを一つ定め，辞書にある単語やその組合せをパスワードとして，ログインを試行する。アは利用者IDを一つに定め、辞書の単語やその組合せをパスワード候補として試しています。これは辞書攻撃であり、入手済みのIDとパスワードの組は使っていません。
- ×イ パスワードの文字数の上限が小さいWebサイトに対して，攻撃対象とする利用者IDを一つ定め，文字を組み合わせたパスワードを総当たりして，ログインを試行する。イは一つの利用者IDに対し、文字を組み合わせたパスワードを順に試しています。候補を総当たりする方法なので、パスワードリスト攻撃には該当しません。
- ○ウ 複数サイトで同一の利用者IDとパスワードを使っている利用者がいる状況に着目して，不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて，ログインを試行する。ウは他サイトから不正に取得した利用者IDとパスワードの一覧表を使います。同じ認証情報を複数サイトで使う利用者がいることを利用するため、パスワードリスト攻撃に該当します。
- ×エ よく用いられるパスワードを一つ定め，文字を組み合わせた利用者IDを総当たりして，ログインを試行する。エはパスワードを一つに固定し、利用者IDのほうを変えて試しています。IDとパスワードの組を一覧表から取り出して試す方法ではありません。
POINT
- 判別するときは、利用者IDとパスワードのどちらを固定し、どちらを変えるかを確認します。
- 辞書の単語からパスワード候補を作る方法は辞書攻撃です。
- 文字の組合せを順に試す方法は総当たり攻撃です。