平成21年度秋期 情報処理安全確保支援士 午前Ⅱ 問12

鍵が開くまで、すべてのパスワードパターンを試しまくる「超ごり押し総当たり攻撃」

荒々しいサイバー攻撃「ブルートフォース攻撃（総当たり攻撃）」だよ。暗証番号4桁なら「0000」から「9999」まで、パスワードなら「a」「b」...「aaaa」と、可能性のある組み合わせを片っ端から全部入力してログインを試みる強引な手口んだ。時間はかかるけれど、パスワードが短かったり辞書に載っているような簡単な言葉だと、あっという間に突破されちゃうよ。

この問題で問われていること

キー入力を盗み見る「キーロガー」や、通信データを使い回す「リプレイ攻撃」とは区別して、「考えられるすべてのパターンを入力して力技で当てる」攻撃を見分けよう。

ブルートフォースの特徴

辞書攻撃より広く、候補の全組合せを機械的に試します。防止策としては桁数増加、多要素認証、試行回数制限が有効です。

候補文字列を総当たり\n成功まで繰返し試行\n-> 認証突破を狙う

確認ポイント

• キー入力記録はキーロガーです。
• ログインシーケンス再送はリプレイ攻撃です。
• 全組合せで試す選択肢を選びます。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。ブルートフォース攻撃は、金庫の暗証番号を「0000、0001、0002…」と全部試すような総当たり攻撃なんだ。可能性のある文字の組合せを片っ端から試す、という説明そのものだよ。

選択肢イ

これは不正解だよ。これは、机の横でキーボード入力を全部メモして、あとで泥棒に送るようなものだよ。入力内容を盗むキーロガーの説明であって、パスワード候補を全部試すブルートフォース攻撃ではないよ。

選択肢ウ

これは不正解だよ。これは、誰かの入場手続きを録音しておいて、あとでその録音を窓口に流すような攻撃で、リプレイ攻撃の説明なんだ。ブルートフォース攻撃のように、パスワードを1個ずつ試して当てにいく話ではないよ。

選択肢エ

これは不正解だよ。これは、ログイン後にもらう“入館証”のようなクッキーやセッション情報を盗んで、本人のふりをする攻撃だよ。パスワードを総当たりで探すブルートフォース攻撃ではなく、セッションハイジャックの説明だね。