リバースブルートフォース攻撃は何を固定して何を変えるのか
情報セキュリティマネジメント試験 令和元年度秋期 午前 問19 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
リバースブルートフォース攻撃に該当するものはどれか。
- ア
攻撃者が何らかの方法で事前に入手した利用者IDとパスワードの組みのリストを使用して，ログインを試行する。
- イ
パスワードを一つ選び，利用者IDとして次々に文字列を用意して総当たりにログインを試行する。
- ウ
利用者ID，及びその利用者IDと同一の文字列であるパスワードの組みを次々に生成してログインを試行する。
- エ
利用者IDを一つ選び，パスワードとして次々に文字列を用意して総当たりにログインを試行する。
会話形式の解説
講師今回はログインを狙うパスワード攻撃の見分け方です。名前に付いている「リバース（逆）」が何の逆なのかを考えると解けます。各選択肢では、固定しているもの、変えているもの、事前に入手した情報を使っているかどうかの三つを確かめてください。
受験者ブルートフォースは総当たりという意味でしたよね。利用者IDを一つ決めて、パスワードを次々に試す説明があったので、私はそれを選びそうになりました。
講師そこがこの問題の引っかけです。利用者IDを固定してパスワードを総当たりするのは、通常のブルートフォース攻撃です。リバースブルートフォース攻撃は、それと固定するものが逆になります。
受験者逆ということは、パスワードを一つ決めて、利用者IDのほうを次々に変えて試すということですか。
講師そのとおりです。パスワードを一つ選んで、利用者IDとして文字列を次々に用意して試す選択肢が正解です。通常の形と並べて比べると、固定と変更が入れ替わっているのがはっきり分かります。
受験者事前に入手したIDとパスワードの組のリストを使う選択肢も、総当たりのように見えてしまいました。
講師それはパスワードリスト攻撃です。どこかから流出した組をそのまま使い回すのが特徴で、総当たりで文字列を作っていくわけではありません。事前に入手した情報を使っているかどうかで区別できます。
受験者利用者IDと同じ文字列をパスワードにして試す選択肢は、何という攻撃でしょうか。
講師ジョーアカウント攻撃といいます。IDとパスワードを同じにしている安易な設定を狙う手口です。パスワードを固定してIDを総当たりするわけではないので、今回の答えには当たりません。
受験者整理すると、IDを固定するのがブルートフォース、パスワードを固定するのがリバースブルートフォース、流出した組を使うのがパスワードリスト攻撃、IDと同じパスワードを狙うのがジョーアカウント攻撃ですね。
講師よく整理できています。もう一つ補足します。リバースブルートフォース攻撃は一つのアカウントあたりの失敗回数が少なくて済むので、一定回数失敗するとロックする仕組みでは防ぎにくくなります。
受験者アカウントロックが効きにくいなら、どのような対策があるのですか。
講師多要素認証の導入、よく使われるパスワードや漏えいしたパスワードを登録させないこと、ログイン失敗の異常な傾向を検知することが挙げられます。少数の一般的なパスワードを多数のアカウントに試すパスワードスプレー攻撃もよく似た手法なので、あわせて覚えておくと安心です。
まとめ
リバースブルートフォース攻撃は、パスワードを一つ固定し、利用者IDを次々に変えてログインを試す攻撃です。通常のブルートフォース攻撃は利用者IDを固定してパスワードを総当たりするので、固定するものが逆になっています。流出したIDとパスワードの組を使い回すのはパスワードリスト攻撃、IDと同じ文字列をパスワードとして試すのはジョーアカウント攻撃です。リバースブルートフォース攻撃はアカウントごとの失敗回数が少ないためアカウントロックでは防ぎにくく、多要素認証や弱いパスワードの登録禁止、異常なログイン失敗の検知が対策になります。
解答・解説
正解はイです
この問題のテーマ
ログインを狙うパスワード攻撃にはいくつか種類があります。この問題では、その中からリバースブルートフォース攻撃を、何を固定して何を変えるかの違いで見分けられるかを問います。
解き方の考え方
「リバース（逆）」が何の逆なのかを考えると解けます。通常のブルートフォース攻撃は利用者IDを固定し、パスワードを総当たりで試します。その逆なので、パスワードを固定して利用者IDを次々に変えるのがリバースブルートフォース攻撃です。各選択肢について、固定しているものと変えているもの、あらかじめ入手した情報を使っているかどうかを確かめてください。
選択肢ごとの解説
- ×ア 攻撃者が何らかの方法で事前に入手した利用者IDとパスワードの組みのリストを使用して，ログインを試行する。事前に入手した利用者IDとパスワードの組のリストでログインを試すという説明は、パスワードリスト攻撃に当たります。総当たりではなく、どこかから流出した組をそのまま使うのが特徴です。リバースブルートフォース攻撃とは仕組みが違います。
- ○イ パスワードを一つ選び，利用者IDとして次々に文字列を用意して総当たりにログインを試行する。パスワードを一つ選んで固定し、利用者IDを次々に変えて総当たりで試すという説明です。通常のブルートフォース攻撃とは固定するものが逆なので、リバースブルートフォース攻撃に当たります。
- ×ウ 利用者ID，及びその利用者IDと同一の文字列であるパスワードの組みを次々に生成してログインを試行する。利用者IDと同じ文字列をパスワードにした組を試すという説明は、ジョーアカウント攻撃に当たります。IDとパスワードを同じにしている安易な設定を狙う手口です。パスワードを固定してIDを総当たりするわけではありません。
- ×エ 利用者IDを一つ選び，パスワードとして次々に文字列を用意して総当たりにログインを試行する。利用者IDを一つ固定し、パスワードを総当たりで試すという説明は、通常のブルートフォース攻撃に当たります。イの説明とは、固定するものと変えるものが逆になっています。
補足
リバースブルートフォース攻撃では、一つのアカウントあたりのログイン失敗は少ない回数で済みます。そのため、一定回数失敗するとロックする仕組みでは防ぎにくくなります。対策には、多要素認証、よく使われるパスワードや漏えいしたパスワードを登録させないこと、ログイン失敗の異常な傾向を検知することが挙げられます。よく似た手法にパスワードスプレー攻撃があり、少数の一般的なパスワードを多数のアカウントに試します。
POINT
- ブルートフォース攻撃は、利用者IDを固定してパスワードを総当たりで試す攻撃です。
- リバースブルートフォース攻撃は、パスワードを固定して利用者IDを次々に変えて試す攻撃です。
- パスワードリスト攻撃は、流出したIDとパスワードの組を使い回して試す攻撃です。
- ジョーアカウント攻撃は、IDと同じ文字列をパスワードとして試す攻撃です。