情報セキュリティマネジメント 2017年 春期 午前（科目A） 問16

パスワード攻撃と対策【情報セキュリティマネジメント解説】

正解の理由

• 辞書攻撃（dictionary attack：既知の単語・フレーズのリストでパスワードを推測する攻撃）には、推測されにくいパスワードを設定することが基本的な防御です。単語やよくあるフレーズを避けることで辞書に載っている組み合わせに当たりにくくなります。
• スニッフィング（sniffing：ネットワーク上の通信を盗聴してパスワードなどを取得する行為）には、通信を暗号化して送信する（例：TLS（Transport Layer Security：通信の暗号化）を使う）ことが有効です。盗聴されても内容が読めなくなります。
• ブルートフォース攻撃（brute-force attack：全ての文字列を総当たりで試す攻撃）には、ログイン試行回数に制限を設ける（レートリミットやアカウントロック）ことが効果的です。試行回数を制限すれば総当たりが現実的でなくなります。

解法ステップ

1. 各攻撃が何を狙うかを簡単に理解する
   • 辞書攻撃：既知単語→人の使う言葉を狙う
   • スニッフィング：通信経路の盗聴→通信そのものを傍受する
   • ブルートフォース：総当たり→大量の試行で突破を狙う
2. 「攻撃を成立させる条件」を考える
   • 辞書攻撃は「推測しやすいパスワード」が必要
   • スニッフィングは「平文（暗号化されていない通信）」が必要
   • ブルートフォースは「無制限に試行できること」が必要
3. 条件を壊す対策を選ぶ（条件を満たさせない）
   • 条件を壊す対策が対応しているか照合することで正答に到達します。

選択肢別の誤答解説

• イ：辞書攻撃とブルートフォースの対策が入れ替わっています。強いパスワードは辞書攻撃向けですが、ブルートフォースには試行回数制限が重要です。よって誤り。
• ウ：スニッフィングに「ログイン試行回数制限」を当てていますが、盗聴対策は通信の暗号化が直接的です。誤配置です。
• エ：ブルートフォースに「パスワード暗号化」を当てていますが、暗号化は通信や保管の問題であり、総当たりの試行回数を防ぐ手段ではありません。誤り。

よくある誤解

• 「暗号化すれば何でも防げる」：通信の暗号化はスニッフィングに有効ですが、辞書攻撃やブルートフォースの対策にはなりません。暗号化は盗聴防止、別の対策が必要です。
• 「強いパスワードだけで十分」：強いパスワードは辞書攻撃に有効ですが、ブルートフォースを完全に防ぐにはレートリミットや多要素認証（MFA）が必要です。
• 「アカウントロックは万能」：ログイン失敗で即ロックすると、攻撃者が簡単にサービス妨害（DoS）できるため、段階的な遅延やCAPTCHAと組み合わせる運用が現実的です。

補足コラム

• パスワードポリシーを策定し、「最小長」「複雑性」「定期的な見直し」ではなく「長さの重視（パスフレーズ）」を推奨するケースが増えています。
• スニッフィング対策は、社内外問わずサービスへの接続にTLS（HTTPS/SSH）を必須にし、社外アクセスはVPNを通す等で実装します。
• ブルートフォース対策は「5回失敗で一時ロック（15分）」のような閾値・時間と、「段階的遅延（試行ごとに待ち時間を増やす）」「CAPTCHA」「多要素認証」の組合せが実務的です。
• 保存時の注意：パスワードをサーバで保管する場合は「暗号化」ではなく「ハッシュ化（hash：一方向の関数）」と「ソルト（salt：個別の乱数）」を使うことが重要です。暗号化は復号が可能ですが、ハッシュは不可逆で安全性が高まります。

FAQ