認証情報の流用はどんな攻撃につながるか
ITパスポート試験 令和4年度 問95 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
攻撃対象とは別のWebサイトから盗み出すなどによって，不正に取得した大量の認証情報を流用し，標的とするWebサイトに不正に侵入を試みるものはどれか。
- ア
DoS攻撃
- イ
SQLインジェクション
- ウ
パスワードリスト攻撃
- エ
フィッシング
会話形式の解説
講師認証情報をどこで入手し、どこで使うかに注目しましょう。
受験者別のサイトで得た情報を、標的サイトのログインで試しています。情報を盗む手口と混同しそうです。
講師入手済みのIDとパスワードを別サイトで試すのが、パスワードリスト攻撃です。
受験者同じ認証情報を複数のサイトで使っていると、不正にログインされる可能性があるのですね。
講師そうです。フィッシングは、偽メールや偽サイトなどで利用者を欺き、情報を得る手口です。
受験者この問題は、情報を得る段階ではなく、得た後に使う攻撃を聞いているのですね。
講師そのとおりです。SQLインジェクションは、不正なSQLを実行させてデータベースを操作する攻撃です。
受験者認証情報を別サイトのログインで試す仕組みとは違いますね。DoS攻撃はどう区別しますか。
講師DoS攻撃は、通信などでサービスに負荷をかけ、利用を妨げる攻撃です。
受験者入手済みの認証情報を別サイトで試す点が決め手なので、パスワードリスト攻撃を選びます。
講師はい。フィッシングは情報を得る手口、パスワードリスト攻撃は得た情報を別サイトで試す攻撃として区別しましょう。
まとめ
別のサイトで入手したIDとパスワードを標的サイトで試すのは、パスワードリスト攻撃です。同じ認証情報を複数サイトで使っていると、不正なログインにつながります。フィッシングは利用者を欺いて情報を得る手口で、DoS攻撃とSQLインジェクションもそれぞれ仕組みが異なります。
解答・解説
正解はウです
この問題のテーマ
流出した認証情報を別のWebサイトで使い、不正なログインを試みる攻撃の名称を問う問題です。
解き方の考え方
手掛かりは、攻撃対象とは別のサイトで得た認証情報を流用する点です。入手済みのIDとパスワードを使ってログインを試みる攻撃を選びます。ほかの選択肢は、サービスへの負荷、データベースへの不正な命令、利用者を欺く行為のどれを指すかで区別できます。
選択肢ごとの解説
- ×ア DoS攻撃DoS攻撃は、通信などでサービスに負荷をかけ、利用を妨げる攻撃です。問題文は入手した認証情報を使ったログインの試みを述べているため、該当しません。
- ×イ SQLインジェクションSQLインジェクションは、不正なSQLを実行させてデータベースを操作する攻撃です。認証情報を別サイトのログインに流用する行為とは、攻撃の仕組みが異なります。
- ○ウ パスワードリスト攻撃パスワードリスト攻撃は、入手済みのIDとパスワードを別サイトで試す攻撃です。複数サイトで同じ認証情報が使われていると、不正なログインにつながります。問題文の「別のWebサイトから不正に取得した認証情報を流用する」という特徴に一致します。
- ×エ フィッシングフィッシングは、偽メールや偽サイトなどで利用者を欺き、情報を得る手口です。問題文が尋ねているのは、すでに得た認証情報を別サイトで試す攻撃なので、該当しません。
補足
フィッシングは認証情報を入手する手口として使われることがあります。一方、この問題で問われているのは、入手後にその情報を別サイトへのログインに使う攻撃の名称です。
POINT
- 入手済みのIDとパスワードを別サイトで試すのが、パスワードリスト攻撃です。
- 複数サイトで認証情報を使い回すと、この攻撃が成功しやすくなります。
- DoS攻撃はサービスに負荷をかけて利用を妨げます。
- SQLインジェクションはデータベースへの不正な操作、フィッシングは利用者を欺いて情報を得る手口です。