令和5年度春期 情報処理安全確保支援士 午前Ⅱ 問2

午前II 問02：Pass the Hashって何？

Pass the Hash は、パスワードそのものを知らなくても、盗んだ「ハッシュ値」を合鍵みたいにそのまま使ってログインを試みる攻撃だよ。普通はパスワードを入力して認証するけど、この攻撃では平文パスワードを復元せずに、手に入れたハッシュ値を悪用するのがポイントだよ。

この問題で問われていること

「パスワードを直接使う攻撃」と「ハッシュ値をそのまま使う攻撃」の違いを見分けられるかが問われているよ。Pass the Hash は、パスワードを解読する攻撃ではなく、盗んだハッシュ値を認証に流用する攻撃だと押さえよう。

Pass the Hash

資格情報のハッシュ値そのものを使って認証要求を通す。

ハッシュ値窃取\n-> そのまま認証に利用

確認ポイント

• 平文パスワードを復元して使う攻撃ではありません。
• ハッシュ化されていない保存パスワードの悪用とも違う。
• ハッシュ値だけでログインする説明を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。ハッシュ値は、パスワードを“ミキサーにかけた後のジュース”みたいなもので、元の果物に戻すのは基本的にできないんだ。だから、ハッシュ値から平文パスワードを導き出してログインする、という説明は正確ではないよ。

選択肢イ（正解）

これは本来、パスザハッシュ攻撃の説明として正しい内容だよ。普通は窓口で本物のパスワードを言う必要があるけれど、この攻撃では“合鍵そのものではなく、合鍵として扱われる番号札”を盗んで入るイメージなんだ。つまり、平文パスワードを知らなくても、盗んだハッシュ値を認証に使える仕組みを悪用する攻撃だよ。

選択肢ウ

これは間違いだよ。利用者IDをいろいろ変えてハッシュ化しながら試す、という話は、パスワードのハッシュ値を盗んでログインする攻撃とはずれているよ。たとえるなら、家の鍵ではなく表札の文字をいじって入ろうとしているようなもので、認証の突破方法として説明が合っていないんだ。

選択肢エ

これは間違いだよ。平文パスワードがそのまま保存されていて、それを盗んで使うのは“金庫に合鍵がむき出しで置いてあった”ような話だけど、これはハッシュ値を悪用する攻撃の説明ではないんだ。問題のポイントは、平文ではなくハッシュ値をどう悪用するかだよ。