平成27年度秋期 情報処理安全確保支援士 午前Ⅰ 問14

パスワードを守るための「ソルト」の役割

ソルトは、パスワードに利用者ごとに違う“ひとつまみの調味料”を足すようなものだよ。同じパスワードでも保存されるハッシュ値が別物になるので、レインボーテーブル攻撃や「この人たち同じパスワードだな」と見抜かれるのを難しくできるんだ。

この問題で問われていること

反復回数を増やすのは計算をわざと重くして総当たり攻撃を遅くする工夫、ソルトは利用者ごとに違う値を混ぜて同じパスワードでも同じハッシュに見えないようにする工夫だよ。この2つの役割を混同せずに区別しよう。

Salt

a salt is a random value added before hashing so that identical passwords produce different hash values

random per user\nadded before hashing\nprevents precomputed attacks

確認ポイント

• 暗号鍵そのものではありません。
• 利用者ごとに異なる値を使う。
• 同じパスワードのハッシュ差異を作る。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。ログイン後のCookieなどを盗んで本人になりすますのは、入場券を持っている人からチケットを盗んで会場に入るようなもので、「セッションハイジャック」の説明だよ。パスワードを総当たりで試すブルートフォース攻撃とは別物なんだ。

選択肢イ（正解）

これは正解だよ。ブルートフォース攻撃は、金庫のダイヤルを「0000、0001、0002…」みたいに全部試すイメージなんだ。可能性がある文字の組合せを総当たりでログインに試すので、この説明がぴったりだよ。

選択肢ウ

これは不正解だよ。キー入力を全部こっそり記録して送るのは、机の横で誰かが暗証番号をメモしているようなもので、「キーロガー」の説明なんだ。今回のブルートフォース攻撃は、盗み見るよりも、ありそうなパスワードを片っ端から試す攻撃だよ。

選択肢エ

これは不正解だよ。正しい人のログイン手順を録音みたいに丸ごと記録して、あとでそのまま再送するのは「リプレイ攻撃」だよ。合言葉を自分で探すのではなく、聞き取ったやり取りを使い回す攻撃なので、ブルートフォース攻撃ではないよ。