平成27年度春期 情報処理安全確保支援士 午前Ⅰ 問14

午前I 問14：ソルトはパスワードに“ひとつまみの個性”を足す仕組みだよ

ソルトを使うと、同じパスワードでもユーザーごとに違う材料が混ざるから、できあがるハッシュ値も別物になるよ。料理にひとつまみ違う調味料を入れると味が変わるようなイメージだね。そのおかげで、攻撃者が用意したレインボーテーブルをそのまま使いにくくできるんだ。

この問題で問われていること

ここでは、ストレッチングとソルトの役割を混同しないことがポイントだよ。ストレッチングはハッシュ計算を何度も繰り返して総当たり攻撃を遅くする方法、ソルトはパスワードに追加データを混ぜて同じパスワードでも違うハッシュ値にする方法、と区別して覚えよう。

Password Salt

a salt is a per-user random value added before hashing to defeat precomputed password attacks

per-user random value\nadded before hashing

確認ポイント

• 計算回数を増やす手法そのものではありません。
• 利用者ごとに変える。
• 事前計算攻撃対策を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

HaaSは不正解だよ。そもそもNISTの代表的なクラウドサービスモデルはIaaS・PaaS・SaaSで、HaaSはこの問題で問われている標準的な区分としては適切ではないよ。たとえるなら、選択肢の地図に載っていない乗り物を選んでしまっている感じだね。

選択肢イ

IaaSは不正解だよ。IaaSはサーバやネットワークなどの土台だけを借りる形で、たとえるなら「空の厨房を借りる」感じ。料理だけでなく、OSやDBMSの修正プログラム適用・権限設定も自分で面倒を見る必要があるので、項番3以降を負わないという条件とズレるよ。

選択肢ウ（正解）

PaaSが正解だよ。PaaSはアプリを動かすための土台をクラウド事業者が用意してくれる形で、たとえるなら「設備付きの厨房を借りて、自分の料理だけ作る」感じ。利用者はアプリのアクセス制御・暗号化・安全な作り込みを担当し、DBMS・OS・ハードウェアの面倒は提供者側が見るので、条件にぴったり合うよ。

選択肢エ

SaaSは不正解だよ。SaaSは完成済みのアプリを使う形で、たとえるなら「できあがった弁当を買う」感じ。利用者は細かいアプリ開発やセキュアプログラミングまでは担当しないので、項番1と2だけを利用者が負う、という条件には合わないよ。