令和5年度秋期 情報処理安全確保支援士 午前Ⅰ 問12

午前I 問12：レインボーテーブルって何？

レインボーテーブルは、よくあるパスワードをハッシュ化した結果を先に大量に作っておく“逆引きメモ帳”みたいなものだよ。ハッシュ値が漏えいしたときに、そのメモ帳を照合して「このハッシュなら元の文字列はこれかも」と素早く平文候補を探せるんだ。

この問題で問われていること

ポイントは、レインボーテーブルが“その場で全部試す総当たり攻撃”ではなく、“前もって作った表でハッシュを逆引きする攻撃”だと見分けることだよ。盗んだID・パスワードを別サービスで試すクレデンシャルスタッフィングや、人をだまして情報を聞き出すソーシャルエンジニアリングとも区別しよう。

Rainbow Table Attack

precomputed chain table maps many possible passwords to hashes

precompute\nhash chains\nlookup leaked hash

確認ポイント

• 事前計算を使うのが特徴です。
• 平文 ID/パスワード使い回し攻撃とは別です。
• 総当たりの高速化手法として理解する。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。これは、別のサービスから漏れたIDとパスワードの組み合わせを、そのまま他のサービスでも試す攻撃だね。たとえるなら、どこかで拾った家の鍵を、同じ人が持っていそうな別の家のドアにも差してみる感じ。これはパスワードリスト攻撃やクレデンシャルスタッフィングの説明だよ。

選択肢イ

これは不正解だよ。これは、考えられる文字列を片っ端から試す攻撃だね。たとえるなら、南京錠の番号を0000、0001、0002…と順番に全部試していく感じ。これは総当たり攻撃、つまりブルートフォース攻撃の説明だよ。

選択肢ウ（正解）

これは正解だよ。事前に「平文パスワード→ハッシュ値」を大量にまとめた早見表を作っておき、盗んだハッシュ値から元のパスワードを探す方法だね。たとえるなら、暗号化された鍵番号を見て、あらかじめ作っておいた合鍵カタログから合う鍵を探す感じ。これはレインボーテーブル攻撃の説明だよ。

選択肢エ

これは不正解だよ。これは、本人から誕生日や電話番号などをうまく聞き出して、そこからパスワードを推測する方法だね。たとえるなら、泥棒が『ペットの名前は？誕生日は？』と会話でヒントを集めて鍵番号を当てようとする感じ。これはソーシャルエンジニアリングや類推攻撃に近い説明だよ。