令和元年度春期 応用情報技術者試験 午前 問38
パスワードクラック手法の一種である，レインボー攻撃に該当するものはどれか。
- ア 何らかの方法で事前に利用者IDと平文のパスワードのリストを入手しておき，複数のシステム間で使い回されている利用者IDとパスワードの組みを狙って，ログインを試行する。
- イ パスワードに成り得る文字列の全てを用いて，総当たりでログインを試行する。
- ウ 平文のパスワードとハッシュ値をチェーンによって管理するテーブルを準備しておき，それを用いて，不正に入手したハッシュ値からパスワードを解読する。
- エ 利用者の誕生日や電話番号などの個人情報を言葉巧みに聞き出して，パスワードを類推する。
解答・解説を見る
正解：ウ
AI解説
レインボー攻撃は、平文パスワードとハッシュ値の対応をチェーン(還元関数による連鎖)で圧縮して保持するレインボーテーブルをあらかじめ作成しておき、不正入手したハッシュ値から元のパスワードを高速に逆引きする攻撃である。「事前計算したテーブル+ハッシュ値から解読」が判断基準となる。 ア: 誤り。入手済みのID・パスワードの組みを他システムで試すのはパスワードリスト攻撃の説明である。 イ: 誤り。あり得る文字列を総当たりで試すのはブルートフォース攻撃(総当たり攻撃)の説明である。 ウ: 正しい。チェーンで管理するテーブル(レインボーテーブル)を用いてハッシュ値からパスワードを解読する手法である。 エ: 誤り。個人情報を言葉巧みに聞き出して類推するのはソーシャルエンジニアリングを利用した攻撃の説明である。 💡 レインボー攻撃への対策は、ハッシュ計算時にランダムなデータを付加するソルト(salt)の使用。テーブルを事前計算できなくする、という対策までセットで覚えると午後にも役立つ。
出典：令和元年度 春期 応用情報技術者試験 午前 問38 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。