平成25年度春期 情報処理安全確保支援士 午前Ⅰ 問14

午前I 問14：ソルトでパスワードを“同じ味”に見せない工夫だよ

ソルトは、パスワードにユーザーごとの“ひとつまみの調味料”を足してからハッシュ化する仕組みだよ。同じパスワードでも違うハッシュ値になりやすいので、レインボーテーブル攻撃や「この人たち同じパスワードかも」という推測をしにくくできるよ。

この問題で問われていること

ポイントは、ソルトとストレッチングの違いを見分けることだよ。ソルトは“同じパスワードでも別物に見せるための追加データ”、ストレッチングは“ハッシュ計算を何度も繰り返して攻撃に時間をかけさせる工夫”として区別しよう。

Salt

a salt is added before hashing so that identical passwords yield different hashes for different users

random value\nadded before hashing\nper-user difference

確認ポイント

• 計算回数増加そのものではありません。
• 利用者ごとに異なる。
• 事前計算攻撃対策を押さえる。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。「未承諾広告※」は、ざっくり言うと広告メールの目印みたいなもの。標的型攻撃メールは泥棒が宅配業者っぽく変装するように、怪しまれない件名にするので、こんな分かりやすい広告表示が特徴ではないよ。

選択肢イ（正解）

これが正解だよ。標的型攻撃メールは、相手の仕事や関心に合わせて「この資料を確認してください」みたいに送ってくるんだ。知っている窓口から来た業務連絡に見せかけるようなもので、受信者がつい開きたくなる内容にするのが特徴だよ。

選択肢ウ

これは不正解だよ。債権回収会社を装って不要なお金を振り込ませるのは、架空請求メールの説明だよ。これは大勢にばらまいて誰かが引っかかるのを狙うタイプで、特定の相手向けに業務っぽく作り込む標的型攻撃メールとは違うよ。

選択肢エ

これは不正解だよ。金融機関を装って偽サイトへ誘導するのは、銀行の窓口そっくりの偽物に連れていって暗証番号を聞き出すようなもので、フィッシングメールの説明だよ。標的型攻撃メールは、無差別ではなく相手に合わせて仕事っぽく見せるのがポイントなんだ。