令和4年度秋期 情報処理安全確保支援士 午前Ⅱ 問6

午前II 問06：パスワードスプレー攻撃は“広く浅く”試す攻撃だよ

パスワードスプレー攻撃は、1つのIDに何度も試してロックされるのを避けるために、「Password123」みたいなよく使われる少数のパスワードを、たくさんの利用者IDに少しずつ試していく攻撃だよ。鍵を1つのドアに何本も差すのではなく、ありがちな鍵を持って建物中のドアを順番に軽く試すイメージだね。

この問題で問われていること

この問題では、パスワードを総当たりするブルートフォース、単語リストを使う辞書攻撃、漏えい済みID・パスワードを使うクレデンシャルスタッフィング、そして“少数の定番パスワードを多数のIDに試す”パスワードスプレーをきちんと見分けられるかがポイントだよ。

パスワードスプレー

1 アカウントに多数試行するとロックされやすいので、1 パスワードを多アカウントへ薄く広く試す。

少数のよく使うパスワード\n-> 多数の ID に試行

確認ポイント

• 1 つの ID へ総当たりする方式ではありません。
• 他サイトから盗んだ ID / パスワード組の流用とも違う。
• 複数 ID によく使われるパスワードを試す説明を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。辞書や人名リストにある言葉を順番に試すのは、鍵束の中から『太郎』『password』『sakura』みたいなありがちな鍵を1つのドアに次々差してみるイメージだね。これは辞書攻撃で、複数の利用者IDに同じような定番パスワードを広く試すパスワードスプレーとは違うよ。

選択肢イ

これは不正解だよ。1人の利用者IDに対して、思いつく限り全部のパスワードを順番に試すのは、1つの金庫に全ての番号を0000から9999まで試すようなものだね。これは総当たり攻撃で、複数IDにありがちなパスワードを少しずつ試すパスワードスプレーとは違うよ。

選択肢ウ（正解）

これは正解だよ。1人のIDに何度も試すとすぐロックされるから、泥棒が同じ家のドアを何度もガチャガチャせず、たくさんの家に『123456』みたいなありがちな鍵を少しずつ試すイメージだね。よく使われるパスワードを複数IDに広く試すので、パスワードスプレー攻撃に当たるよ。

選択肢エ

これは不正解だよ。これは、別の店で盗まれた会員証と暗証番号のセットを、そのまま別の店の入口で試すようなものだね。IDとパスワードの組を使う攻撃なので、パスワードスプレーではなく、パスワードリスト攻撃の説明だよ。