令和7年度春期 応用情報技術者試験 午前 問44
パスワードクラックの対策のうち，ストレッチングに該当するものはどれか。
- ア あらかじめ利用者だけが知っている質問と答えをシステムに登録しておき，普段と異なるログイン方法の場合に追加で質問を行う。
- イ 一定時間内にパスワードを一定回数誤ったとき，それ以降のログインを試行できないようにする。
- ウ パスワードの照合のためのハッシュ値を，パスワードに対してハッシュ化を繰り返して，求める。
- エ パスワードの照合のためのハッシュ値を，パスワードに利用者IDごとに異なる文字列を付加してからハッシュ化して，求める。
解答・解説を見る
正解：ウ
AI解説
ストレッチング(key stretching)は、パスワードから照合用ハッシュ値を求める際に、ハッシュ化の処理を何千回、何万回と繰り返し適用することで計算コストを増大させ、総当たり攻撃やレインボーテーブル攻撃を困難にする対策である。 ア: 誤り。秘密の質問を追加で行う手法は、リスクベース認証や多要素認証における追加確認の一種であり、ストレッチングとは異なる。 イ: 誤り。一定回数パスワードを誤ったらログインを試行できなくするのはアカウントロックアウトの対策であり、ストレッチングとは異なる。 ウ: 正しい。パスワードのハッシュ化を繰り返し行って照合用ハッシュ値を求める手法がストレッチングである。 エ: 誤り。利用者IDごとに異なる文字列を付加してからハッシュ化するのはソルト(salt)の付加であり、ストレッチングとは異なる対策(同じ平文パスワードでも異なるハッシュ値にする対策)である。 💡 「ソルト=同じパスワードでも異なるハッシュ値にする(レインボーテーブル対策)」、「ストレッチング=ハッシュ化を繰り返して計算コストを上げる(総当たり対策)」と役割を分けて覚えると混同しない。
出典：令和7年度 春期 応用情報技術者試験 午前 問44 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。