情報処理安全確保支援士試験 令和3年度 秋期 午前II 問2

【正解】イ

イのPass the Hash攻撃は、窃取したパスワードのハッシュ値を、平文パスワードを復元せずに認証情報として使用する攻撃です。Windows環境のNTLM認証など、ハッシュ値を基に認証応答を生成できる仕組みでは、ハッシュ値そのものが事実上の認証資格として機能することがあります。攻撃者は端末のメモリや認証情報データベースなどからハッシュ値を盗み、それを別の端末やサーバへの不正ログインや横展開に悪用します。重要なのは、ハッシュ値から元のパスワードを解読する必要がないという点です。

アの説明は誤りです。ハッシュ値から平文パスワードを求めて使用する行為は、辞書攻撃、総当たり攻撃、レインボーテーブルなどによるパスワード解析に該当します。

ウの説明は誤りです。一つのパスワードを固定して多数の利用者IDに対して認証を試みる手法は、パスワードスプレー攻撃又は逆総当たり攻撃です。利用者IDをハッシュ化する処理の有無は、Pass the Hash攻撃の本質ではありません。

エの説明は誤りです。平文で保存されたパスワードを盗んでログインするのは、平文の認証情報の窃取と不正利用であり、ハッシュ値をそのまま使う攻撃ではありません。

【ポイント】 Pass the Hashでは「ハッシュ値を解読せず、そのまま使う」と覚えます。 対策には、NTLM利用の抑制、管理者権限の最小化、認証情報を保持する端末の保護、特権アカウントの分離などがあります。 窃取されたハッシュ値もパスワードと同様に重要な秘密情報として扱う必要があります。