ITパスポート 2016年 秋期 問83

あるIDに対して所定の回数を超えてパスワードの入力を間違えたとき、当該IDの使用を停止させることが有効な防衛手段となるものはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文を読み、「所定の回数を超えてパスワードの入力を間違えたとき」という条件に注目する。
2. 各選択肢がどんな攻撃かを簡単に思い浮かべる。
   • DoS攻撃（DoS：Denial of Service＝サービス拒否攻撃）はサービスを使えなくする攻撃。
   • SQLインジェクションは、データベース操作言語SQL（Structured Query Language：データベースを操作する言語）を悪用する攻撃。
   • 総当たり攻撃は大量のパスワード候補を順に試す攻撃。
   • フィッシングは偽のメールやサイトでIDやパスワードを騙し取る手口。
3. 「パスワードを大量に試される」ことに直接効く対策はどれかを考えると、総当たり攻撃に対する「試行回数の制限（アカウントロック）」が最も有効と判断できる。これで ウ が正解とわかります。

選択肢別の誤答解説

• ア: DoS攻撃（Denial of Service：サービス拒否攻撃）
  DoSはサーバやネットワークに大量のアクセスを送り、サービスを停止させる攻撃です。アカウント単位のパスワード試行回数制限は、サービス自体への大量アクセスを止めるものではないため、DoS対策にはならないことが多いです。
• イ: SQLインジェクション（SQL：Structured Query Language）
  SQLインジェクションは、データベース操作命令を不正に挿入してデータを抜き取ったり改ざんしたりする攻撃です。パスワードの「多数回の入力試行」を制限する措置は、SQLインジェクションによる不正なSQL文の挿入を止めるものではありません。
• ウ: 総当たり攻撃（ブルートフォース攻撃）
  前述のとおり、多数のパスワードを試行して突破する攻撃です。試行回数制限（アカウントロック）はこの攻撃の効果を直接減らします。
• エ: フィッシング（phishing：偽サイトやメールで認証情報をだまし取る手法）
  フィッシングは人をだます手口なので、「誰かが繰り返し間違えるのを検出してアカウントを止める」方式では防げません。むしろ教育や二要素認証が有効です。

よくある誤解

1. 「アカウントロックすれば完全に安全」ではない
   アカウントロックは総当たりを減らしますが、辞書攻撃（よく使われる単語を試す）や使い回しの弱いパスワードには別の対策（長く複雑なパスワード、多要素認証）が必要です。
2. 「ロック＝永久に止める」は運用上よくない
   永久ロックは正当な利用者に不便を与えます。一般には一時ロック（一定時間だけログイン不可）や管理者解除が使われます。
3. ロック自体が新たな攻撃を招く可能性がある
   悪意ある第三者が他人のIDにわざと繰り返し誤入力してアカウントをロックさせ、サービス利用を妨害（アカウント型DoS）することがあります。これを防ぐ運用設計が必要です。

補足コラム

• レートリミット（要求頻度制限）
  一定時間内の試行回数を制限する方法。IPアドレスやアカウント単位で制限します。
• CAPTCHA（キャプチャ）
  自動化されたプログラム（ボット）を阻むために、人間だけが解ける問題を出す仕組みです。
• 多要素認証（MFA：Multi‑Factor Authentication＝二要素以上で認証）
  パスワードの他にワンタイムコードやスマホ承認など別の要素を要求することで、安全性を高めます。
• パスワードポリシーと監視
  推測されにくい長めのパスワードの要求や、異常なログイン試行の検知と通報を組み合わせます。

• 閾値（何回でロックするか）はセキュリティと利便性のバランスで決める（例：5回）
• 一時ロック（例：15分間のログイン禁止）を基本にすることが多い
• ロックによる不正な妨害を検出する仕組み（同一IPから多数アカウントへの誤入力など）を用意する

FAQ