パスワードリスト攻撃と総当たり系攻撃・レインボーテーブル攻撃の違い
情報セキュリティマネジメント試験 2022年 サンプル問題 問16 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
特定のサービスやシステムから流出した認証情報を攻撃者が用いて，認証情報を複数のサービスやシステムで使い回している利用者のアカウントへのログインを試みる攻撃はどれか。
- ア
パスワードリスト攻撃
- イ
ブルートフォース攻撃
- ウ
リバースブルートフォース攻撃
- エ
レインボーテーブル攻撃
会話形式の解説
講師今回は、流出した認証情報を使ってログインを試みる攻撃の名前を問う問題です。問題文の「流出した認証情報を用いて」と「使い回している利用者」の2か所に注目してください。
受験者パスワードに関する攻撃は名前が似ていて、いつも迷います。ブルートフォース攻撃も、ログインを何度も試す攻撃でしたよね。
講師ログインを試すという点は同じです。違うのは、何を手がかりにするかです。ブルートフォース攻撃（総当たり攻撃）は、1つのIDに対して、パスワードになり得る文字の組合せを片端から試します。流出したリストを使うわけではありません。
受験者では、今回の攻撃はすでに手元にあるIDとパスワードの組合せをそのまま使うので、推測はしないということですか。
講師そのとおりです。どこかのサービスから流出したIDとパスワードのリストを使って、別のサービスへの不正ログインを試みるのがパスワードリスト攻撃です。複数のサービスで同じ組合せを使う利用者が多いことにつけ込みます。問題文の説明とそのまま一致するので、これが正解です。
受験者リバースブルートフォース攻撃は、ブルートフォース攻撃を逆にしたものという理解でよいでしょうか。
講師はい。よく使われるパスワードを1つに固定し、IDのほうを次々に変えて試す手法です。1つのIDあたりの失敗回数が少ないので、一般的なアカウントロックでは防ぎにくいという特徴があります。ブルートフォース攻撃もリバースブルートフォース攻撃も、今回の問題文のように流出した組合せをそのまま使う攻撃ではありません。
受験者レインボーテーブル攻撃も、パスワードの一覧のようなものを使うと聞いた気がします。リストという点で紛らわしいです。
講師レインボーテーブル攻撃で使うのは、パスワードとハッシュ値の対応表です。ハッシュ値とは、パスワードを一定の計算で別の値に変換したものです。この表を使って、ハッシュ化されて保存されたパスワードから元のパスワードを割り出します。ログインの試し方を説明した問題文とは別物です。
受験者整理すると、ブルートフォースはIDを固定してパスワードを総当たり、リバースはパスワードを固定してIDを総当たり、レインボーテーブルはハッシュ値の解析、そして流出済みの組合せを別のサービスで試すのがパスワードリスト攻撃ということですね。
講師正確な整理です。補足すると、パスワードリスト攻撃が成り立つのは、利用者が認証情報を使い回しているからです。有効な対策の一つは、サービスごとに別のパスワードを使うことです。そうすれば、1か所で流出しても被害がほかのサービスへ連鎖しにくくなります。
受験者ログインの失敗回数を制限すれば防げるのではないかとも思ったのですが、どうでしょうか。
講師パスワードリスト攻撃は試す組合せが本物なので、少ない試行回数でログインに成功しやすくなります。そのため、総当たりを前提にした回数制限だけでは防ぎきれない場合があります。攻撃の仕組みと対策をセットで押さえておくと、理解が深まります。
まとめ
流出したIDとパスワードの組合せを使い、認証情報を使い回している利用者の別サービスのアカウントへログインを試みる攻撃は、パスワードリスト攻撃です。ブルートフォース攻撃はIDを固定してパスワードを総当たりし、リバースブルートフォース攻撃はパスワードを固定してIDを次々に変えて試します。レインボーテーブル攻撃はログインを試す攻撃ではなく、ハッシュ値から元のパスワードを割り出す攻撃です。パスワードリスト攻撃は本物の組合せを使うので少ない試行で成功しやすく、回数制限だけでは防ぎきれない場合があります。有効な対策の一つは、サービスごとに別のパスワードを使うことです。
解答・解説
正解はアです
この問題のテーマ
流出した認証情報を、使い回している利用者の別のアカウントに試すという攻撃の名前を問う問題です。パスワードを推測・解析する、よく似た名前の攻撃との違いを見分けられるかが問われています。
解き方の考え方
問題文の「流出した認証情報を用いて」と「使い回している利用者」の2か所に注目します。この攻撃は、すでに手元にあるIDとパスワードの組合せをそのまま使います。総当たりで推測するのでも、ハッシュ値から元のパスワードを割り出すのでもありません。このため、推測や総当たりをする攻撃と、ハッシュを解析する攻撃は外せます。残るのは、入手済みのリストを使う攻撃だけです。
選択肢ごとの解説
- ○ア パスワードリスト攻撃パスワードリスト攻撃は、どこかのサービスから流出したIDとパスワードのリストを使って、別のサービスへの不正ログインを試みる攻撃です。複数のサービスで同じ組合せを使う利用者が多いことにつけ込みます。問題文の説明とそのまま一致します。
- ×イ ブルートフォース攻撃ブルートフォース攻撃（総当たり攻撃）は、1つのIDに対して、パスワードになり得る文字の組合せを片端から試す手法です。流出したリストを使うわけではないので、問題文の説明とは合いません。
- ×ウ リバースブルートフォース攻撃リバースブルートフォース攻撃は、よく使われるパスワードを1つに固定し、IDのほうを次々に変えて試す手法です。1つのIDあたりの失敗回数が少ないため、一般的なアカウントロックでは防ぎにくいという特徴があります。ただし、流出した認証情報を使う攻撃ではありません。
- ×エ レインボーテーブル攻撃レインボーテーブル攻撃は、パスワードとハッシュ値の対応表を使い、ハッシュ値から元のパスワードを割り出す手法です。ハッシュ化されて保存されたパスワードを解析するための攻撃なので、ログインの試し方を説明した問題文とは別物です。
補足
いちばん効く対策は、サービスごとに別のパスワードを使うことです。そうすれば、1か所で流出しても被害がほかのサービスへ連鎖しにくくなります。パスワードリスト攻撃は試す組合せが本物なので、少ない試行回数でログインに成功しやすく、総当たりを前提にした回数制限だけでは防ぎきれない場合があります。「リスト」が辞書（よく使われる単語）を指すのか、流出した認証情報を指すのかを取り違えないように気をつけてください。
POINT
- パスワードリスト攻撃は、流出済みのIDとパスワードの組合せを別のサービスで試す攻撃です。
- パスワードリスト攻撃が成り立つのは、利用者が認証情報を使い回しているからです。
- ブルートフォース攻撃はIDを固定してパスワードを総当たりし、リバースブルートフォース攻撃はパスワードを固定してIDを総当たりします。
- レインボーテーブル攻撃は、ログインを試す攻撃ではなく、ハッシュ値から元のパスワードを割り出す攻撃です。