ITパスポート 2017年 春期 問81

Webサーバの認証での連続誤入力に対する利用停止処置の効果【ITパスポート 解説】

正解の理由

• ブルートフォース攻撃：文字どおり「総当たり」で可能なパスワードを片っ端から試す攻撃。
• アカウントロック（利用停止）：何回か失敗したらそのIDを一定時間使えなくする仕組み。

解法ステップ

1. 問題文の対策内容を正確に把握する。
   • 「同じ利用者IDに対してパスワードの誤りがあらかじめ定められた回数連続して発生した場合に、その利用者IDを自動的に一定期間利用停止にする」
   • これは「短時間に何度も誤りが続くこと」を検知して止める仕組みであると読む。
2. 各攻撃の特徴を整理する（簡単に想像してみる）。
   • ア: ゼロデイ攻撃 — 未知の脆弱性を突く。パスワード試行とは性質が違う。
   • イ: パスワードリスト攻撃 — 既知の（流出や推測で集めた）パスワード一覧を使って試す。試行回数はあるが、対象はリストに依存。
   • ウ: バッファオーバフロー攻撃 — プログラムのメモリ操作を悪用する攻撃。認証の試行回数とは関係がない。
   • エ: ブルートフォース攻撃 — 全パターンを大量に試す。短期間に多数の誤入力が発生する。
3. 「短時間に多数の誤りが発生する行為」を最も直接に阻止する攻撃を選ぶ。
   • それが エ（ブルートフォース攻撃）である。

選択肢別の誤答解説

• ア: ゼロデイ攻撃（ゼロデイ攻撃：まだ知られていないソフトウェアの欠陥＝脆弱性を突く攻撃）
  • なぜ誤りか：ゼロデイ攻撃は脆弱性の穴を直接突いてシステムを乗っ取ったり情報を盗むものです。パスワードを大量に試す「誤入力の回数」とは無関係です。アカウントロックはゼロデイ対策になりません。
• イ: パスワードリスト攻撃（パスワードリスト攻撃：流出情報などから作った既知の組み合わせを試す攻撃）
  • なぜ誤りか：パスワードリスト攻撃も複数回の試行を伴いますが、攻撃者は「よく使われるパスワード」に絞って短時間で試すことが多いです。アカウントロックはある程度抑止できますが、パスワードリスト攻撃は「リストにある有力候補」を使うため、試行回数そのものはブルートフォースより少ない場合があります。問題文の対策が最も想定しているのは全パターンを試す総当たりの防止です。
• ウ: バッファオーバフロー攻撃（バッファオーバーフロー攻撃：プログラムのメモリ管理ミスを悪用する攻撃）
  • なぜ誤りか：これはプログラムの脆弱性を利用して実行制御を乗っ取る手法で、認証の失敗回数とは関係ありません。アカウントロックで防げる類の攻撃ではありません。
• エ: ブルートフォース攻撃（ブルートフォース攻撃：可能なパスワードを片っ端から総当たりで試す攻撃）
  • なぜ正しいか：総当たりでは短期間に大量のパスワード誤入力が発生します。所定回数でアカウントをロックすれば、そのIDに対する試行を止められるため、効果が高いです。

よくある誤解

1. 「パスワードロック＝完全な防御」
   • 誤解の理由：ロックはブルートフォースを減らせますが、攻撃者が別のIDを狙ったり、ロックの仕組みを悪用してサービス妨害（DoS）を仕掛ける可能性があります。万能ではありません。
2. 「パスワードリスト攻撃とブルートフォースは同じ」
   • 誤解の理由：どちらも複数試行をする点は似ていますが、パスワードリストは既知の候補を優先して試すため試行数が少なく効率的です。ブルートフォースは総当たりで網羅的に試します。
3. 「ロックの回数を少なくすれば安全」
   • 誤解の理由：回数を少なくしすぎると、正しいユーザが入力ミスや他人によるいたずらで頻繁にロックされ、業務に支障が出ます。バランスが必要です。

補足コラム

• 閾値（ロックする誤入力回数）の設定：3回、5回など一般的だが業務やユーザ層に合わせる。
• ロック解除方法：一定時間経過で自動解除するか、管理者の確認で解除するかを決める。自動解除のみだと攻撃を受け続ける可能性がある一方、管理者解除だと手間が増える。
• 代替策として「段階的遅延」もある：誤入力ごとに次の試行まで待ち時間を増やす方法。ユーザの利便性を保ちつつ総当たりの効率を下げられる。
• 二段階認証（2FA：Two-Factor Authentication）など、パスワード以外の要素を加える方が安全性はさらに高まる。

FAQ