平成23年度秋期 情報処理安全確保支援士 午前Ⅰ 問14

パスワードをハッシュ化する前に、秘密の「塩（ソルト）」をふりかけてハッカーの解読表を無効化する

データベースにパスワードを安全に保存する技術「ソルト（Salt）」の問題だよ。パスワードをハッシュ値（暗号文）にして保存する際、もし同じパスワードの人が複数いると、同じハッシュ値が並んで推測されやすくなっちゃうんだ。そこで、ハッシュ化する前にユーザーごとにランダムな文字列（ソルト）を付け足すことで、同じパスワードでも全く異なるハッシュ値になり、ハッカーがあらかじめ用意したハッシュ解読表（レインボーテーブル）での解読を難しくするよ。

この問題で問われていること

ハッシュ計算を数千回繰り返して計算負荷を上げる「ストレッチング」とは区別して、「パスワード文字列にランダムな値（ソルト）を付加した上でハッシュ化し、レインボーテーブル攻撃などによる一括解読を防ぐ」仕組みを選ぼう。

Salt

salt is a random value added before hashing so identical passwords produce different hashes

random value\nadded before hashing

確認ポイント

• 計算回数増加の仕組みとは別です。
• 利用者ごとに異なる値を付ける。
• 事前計算攻撃対策を押さえる。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これが正解だよ。外部に公開していないサービスへのアクセスは、関係者用の裏口に外から入ろうとするようなものだね。パケットフィルタリングで、そのサービスのポートへの外部からの通信を閉めておけば、公開中のWebやメールなど必要な窓口は残したまま、不必要な入口だけふさげるよ。

選択肢イ

これは不正解だよ。サーバソフトの脆弱性を突く攻撃は、開いている正規の窓口に来た客が、窓口の対応ミスを悪用するようなものだよ。パケットフィルタリングでその窓口自体を閉めれば止められるけど、正規の利用者も使えなくなる。だから必要なサービスに影響を出さずに防ぐ方法としては適切じゃないよ。

選択肢ウ

これは不正解だよ。マクロウイルスは、手紙の封筒ではなく中身に危ない仕掛けが入っているイメージだよ。パケットフィルタリングは主に宛先やポート番号を見る門番なので、添付ファイルの中身までは基本的に見ない。防ぐならウイルス対策ソフトやメールフィルタの出番だね。

選択肢エ（正解）

これは不正解だよ。電子メール爆弾は、メールを大量に送りつけて郵便受けをパンパンにするような攻撃だね。パケットフィルタリングでSMTPを丸ごと止めれば防げることはあるけど、普通の大事なメールまで届かなくなる。だから「必要なサービスに影響を出さずに防げる」とは言いにくいよ。