応用情報技術者試験 令和5年度 秋期 午前 問36

【正解】ウ

レインボーテーブル攻撃は、パスワードから計算されるハッシュ値と、元のパスワード候補との対応関係を事前に大量に計算しておき、盗み出したハッシュ値からパスワードを効率よく推定する手法です。全ての対応を単純に保存すると巨大になるため、ハッシュ化と還元処理を繰り返したチェーンとして圧縮して管理します。ウは、このようなテーブルを準備し、不正に入手したハッシュ値の解読に利用しているので正解です。

アの方法は誤りです。これは、他のサービスなどから流出した利用者IDとパスワードの組を使ってログインを試す、パスワードリスト攻撃の説明です。同じ認証情報の使い回しを狙います。

イの方法は誤りです。これは、考えられる文字列を順番に全て試す、ブルートフォース攻撃、すなわち総当たり攻撃の説明です。事前計算したハッシュ値の表は用いません。

エの方法は誤りです。これは、人の心理や不注意につけ込んで秘密情報を聞き出す、ソーシャルエンジニアリングの説明です。得た個人情報からパスワードを推測する場合も含まれます。

【ポイント】 レインボーテーブル攻撃への代表的な対策は、パスワードごとに異なるソルトを付加してからハッシュ化することです。ソルトによって同じパスワードでも異なるハッシュ値となり、事前計算した表を使い回しにくくできます。ストレッチングも併用すると、解読に必要な計算量を増やせます。