令和5年度秋期 プロジェクトマネージャ 午前Ⅰ 問12

パスワード攻撃の整理ポイント

各選択肢を個別の印象や用語の記憶だけで判断せず、説明文が置く前提と話の進み方を同じ粒度で読み取り、相互の対応関係を確かめることに集中しましょう。丁寧に見直します。

この問題で問われていること

この問題では、手法名を記憶から当てにいくより、各説明の前提・対象・進行の関係を同じ枠組みで整理し、記述全体の対応づけに無理がないかを確認する観点へ絞って考えます。

視点

名称や語感ではなく、各説明がどのような前提から話を始め、どのような流れで内容を組み立てているかに注目します。選択肢を短い要素へ分け、同じ観点どうしを照合して、記述の対応関係を落ち着いて確認してください。

確認ポイント

• 各説明の前提を同じ粒度で整理できるか
• 説明中の要素どうしのつながりを確認できるか
• 用語の印象ではなく記述全体の対応関係を見ているか

正解

ウ

解説

レインボーテーブル攻撃は、平文パスワードとハッシュ値の対応をチェーンで効率よく管理したテーブルを事前に用意し、入手したハッシュ値からパスワードを求める手法です。したがって、該当するのはウです。

理由

レインボーテーブルは、パスワード候補をハッシュ化した結果をチェーン状にまとめ、保存容量を抑えながら検索に利用する。攻撃者は不正に得たハッシュ値を照合し、対応するパスワード候補を解読する。

比較

全候補を順に試す総当たり攻撃、他サービスの認証情報を試すパスワードリスト攻撃、個人情報から推測するソーシャルエンジニアリングとは、利用する情報と攻撃の進め方が異なる。

選択肢ア

これは不正解だよ。事前に入手した利用者IDと平文パスワードの組を、別のシステムでも使い回している利用者に対して試す方法である。これは複数サービス間の認証情報の使い回しを悪用する攻撃であり、ハッシュ値と事前計算テーブルを照合するレインボーテーブル攻撃の説明ではない。

選択肢イ

これは不正解だよ。パスワードに成り得る文字列を全て試してログインを繰り返す方法は、候補を一つずつ検証する総当たり攻撃に該当する。事前にパスワードとハッシュ値の対応をチェーンで管理し、不正取得したハッシュ値から解読するレインボーテーブル攻撃とは異なる。

選択肢ウ（正解）

これは正解だよ。平文パスワードとハッシュ値をチェーンによって管理するテーブルをあらかじめ準備し、不正に入手したハッシュ値を手掛かりにパスワードを求める方法は、レインボーテーブル攻撃の特徴を示している。事前計算結果を利用して検索を効率化する点が該当する。

選択肢エ

これは不正解だよ。利用者の誕生日や電話番号などを言葉巧みに聞き出し、パスワードを推測する方法は、人的な誘導によって情報を得るソーシャルエンジニアリングに該当する。ハッシュ値や事前計算したチェーンテーブルを利用していないため、レインボーテーブル攻撃ではない。

学習のポイント

事前計算テーブルを使う攻撃と、候補を直接試す攻撃を区別する。