情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問26

リスト型認証攻撃【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題のキーワードを把握する：ここでは「パスワードリスト攻撃」がテーマ。
2. 各選択肢が何を意味するか短く整理する（辞書攻撃、レインボーテーブル、流出組合せの再利用、入力録画など）。
3. 「リスト攻撃＝流出した組合せの使い回し」という定義に合致する選択肢を選ぶ。
4. 当てはまらない選択肢は、使用する手法や目的が異なる点で除外する。

選択肢別の誤答解説

• ア: 一般的な単語や人名からリストを作るのは「辞書攻撃（dictionary attack：よく使われる語句を試す手法）」に近いです。辞書攻撃はパスワードの推測を試みますが、必ずしも既知の流出組合せを使うわけではありません。よって本問の「パスワードリスト攻撃」とは異なります。
• イ: 想定されるパスワードとそのハッシュ値の対を使うのは「レインボーテーブル攻撃」などのハッシュの復元手法です。これは入手したハッシュ値（平文でない値）から元のパスワードを割り出すことが目的で、リスト型認証攻撃とは別カテゴリです。
• ウ: どこかのWebサイトから流出した利用者IDとパスワードのリストを使って別サイトでログインを試す。この「流出組合せを流用する」行為が、典型的なリスト型認証攻撃です。
• エ: ピクチャパスワードの入力を録画して再利用するのは「傍受／録画による乗っ取り」や「リプレイ（再生）攻撃」に該当します。リスト化している点はあるものの、パスワード文字列のリストを使うという意味でのリスト型認証攻撃とは性質が違います。

よくある誤解

• 「辞書攻撃とリスト型認証攻撃は同じ」と考える誤り：辞書攻撃は一般語句を試す手法、リスト型は既に流出した実在のID・パスワード組を使う点が違います。
• 「ハッシュのリストもリスト型攻撃だ」と混同する誤り：ハッシュ値のリストを使った攻撃はハッシュ復元が目的で、復元後にログイン試行する流れは別プロセスです。
• 「パスワードが1つ流出しても安全」と思う誤り：多くの人が複数サイトで同じパスワードを使いがちなので、1件の流出でも他サービスの被害につながります。

補足コラム

• 用語メモ
  • リスト型認証攻撃（credential stuffing）：流出したIDとパスワードの組を使って他サイトへログインを試す攻撃。
  • 辞書攻撃（dictionary attack）：よく使われる単語のリストを試行してパスワードを推測する手法。
  • レインボーテーブル（rainbow table）：パスワードとハッシュの対を事前計算した巨大な表を使ってハッシュを逆算する技術。
  • MFA（Multi-Factor Authentication：多要素認証）：パスワード以外の認証要素（例：ワンタイムコード、指紋）を組み合わせて本人確認を強化する仕組み。
  • ピクチャパスワード：画像上でタップやスワイプなどで認証する方式。
• 職場での実運用イメージ（対策）
  • 多要素認証（MFA）の導入：パスワードが流出しても即座に不正ログインを防げます。
  • ブリーチドクレデンシャルチェック：外部サービス（例：侵害情報を照合するAPI）で社内アカウントの流出確認を定期実施。
  • ログイン試行制限・レート制御：短時間に大量のログインを受け付けない設計。異常なIPや地域からのアクセスは警告・遮断。
  • パスワードポリシーとパスワードマネージャ：使い回しを減らす運用。
  • インシデント対応：流出疑いがあれば当該アカウントを一時停止し、パスワード変更とログ調査を行う。

FAQ