令和3年度秋期 情報処理安全確保支援士 午前Ⅱ 問2

午前II 問02

Pass the Hash攻撃は、パスワードそのものを知らなくても、盗んだ「パスワードのハッシュ値」を合い鍵みたいにそのまま使ってログインしてしまう攻撃だよ。普通はハッシュ値はパスワード確認用のものだけど、この攻撃ではそれ自体を認証材料として悪用するんだ。

この問題で問われていること

この問題で見ているポイントは、「ハッシュ値から元のパスワードを復元する」とか「総当たりでパスワードを探す」ことではないよ。盗んだハッシュ値をそのまま使い回して、不正に認証を通す攻撃だと理解できているかを確認しよう。

Pass the Hash

認証側がハッシュ値を受け付ける仕組みだと、盗んだハッシュ値をそのまま "通行証" として使えてしまう。

ハッシュ値窃取\n-> そのまま認証へ使用\n-> ログイン

確認ポイント

• 平文パスワードを導出する必要はない。
• 平文保存パスワード利用とも違う。
• ハッシュ値だけでログインする説明を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。ハッシュ値から元のパスワードを割り出して、その平文パスワードでログインする話になっているね。これは“鍵の型から本物の鍵を復元して使う”ようなもので、盗んだハッシュ値をそのまま使うパス・ザ・ハッシュ攻撃とは違うよ。

選択肢イ（正解）

これは正解だよ。パスワードそのものを知らなくても、盗んだハッシュ値を“合鍵のように”使ってログインするのがパス・ザ・ハッシュ攻撃だよ。本来ハッシュ値は確認用の控えみたいなものだけど、それだけで認証できる仕組みだと、控えを盗まれただけで窓口を突破されてしまうんだ。

選択肢ウ

これは不正解だよ。パスワードを1つに決めて、いろいろな利用者IDで試すのは、家の鍵を1本だけ持って町中のドアを順番に開けようとするようなもの。これは利用者IDを総当たりっぽく試す話で、ハッシュ値そのものを使ってログインする攻撃ではないよ。

選択肢エ

これは不正解だよ。平文パスワードは、暗号化も目隠しもされていない“そのままの鍵番号メモ”みたいなもの。それを盗んでログインするのは単なるパスワード漏えいの悪用で、ハッシュ値を使ってログインするパス・ザ・ハッシュ攻撃とは別物だよ。