ITパスポート 2017年 春期 問95

IDとパスワードの漏えいと別サイトでの被害【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文の状況を整理する：一つのサイトでの漏えい → 別サイトでの被害発生。
2. 「パスワードリスト攻撃」の仕組みを理解する：既知の組み合わせを別サイトで試す（使い回しを狙う）。
3. 各選択肢がその仕組みにどう関係するかを検討する。
4. 「同じIDと同じパスワードを設定していた」ことが直接的な原因であると判断する。

選択肢別の誤答解説

• ア: IDとパスワードを暗号化されていない通信を使ってやり取りしていた。
  解説：暗号化されていない通信（例：HTTPで送信）だと通信の盗聴で漏れる可能性はあります。しかし問題文は「あるWebサイトから漏えい」とあり、流出の原因が通信盗聴かどうかは分かりません。さらに、通信盗聴で盗まれた場合でも被害は個々の通信時に限られることが多く、複数ユーザーの一括流出（データベース流出）からのパスワードリスト攻撃とは因果関係が弱いです。まず優先して疑うべきは「パスワードの使い回し」です。
• ウ: 種類が少ない文字を組み合わせたパスワードを設定していた。
  解説：記号や大文字・小文字・数字を組み合わせない「種類が少ない」パスワードは総当たり（ブルートフォース）や辞書攻撃に弱いです。しかし、問題文のパスワードリスト攻撃は「既に漏えいした組み合わせを使う」攻撃なので、文字の種類が少ないかどうかは直接の原因ではありません。
• エ: 短いパスワードを設定していた。
  解説：短いパスワードは破られやすい（総当たりが早く成功する）というリスクはありますが、本件の被害は「別サイトでのパスワードリスト攻撃」によるものです。リスト攻撃は既に入手したパスワードを流用する攻撃で、短さ自体が主要因とは言えません。最も直接的なのはやはり「使い回し」です。

よくある誤解

• 誤解1: 「通信が暗号化されていれば被害は起きない」
  解説：HTTPS（HTTP over TLS：通信を暗号化する仕組み）を使っていれば通信盗聴は防げますが、サイト側のデータベースが漏えいした場合や運営がパスワードを平文で保存していた場合は通信の有無に関係なく流出します。
• 誤解2: 「長さや文字種だけ気をつければ大丈夫」
  解説：長く複雑なパスワードは重要ですが、同じパスワードを複数のサイトで使い回していれば、一箇所の漏えいで全部危険になります。強度と『使い回しの禁止』の両方が必要です。

補足コラム

• パスワードの使い回しを避ける：サイトごとに異なるパスワードを設定する。
• パスワード管理ツール（英: password manager：複数のパスワードを安全に保管・自動入力するソフト）を使うと管理が簡単です。
• 多要素認証（2要素認証、英: two-factor authentication）は、パスワードが漏れても追加の要素（スマホの確認コードなど）で防げる可能性が高まります。
• 定期的なパスワード変更や、漏えい通知サービス（メールアドレスやIDが流出したかを知らせるサービス）を利用するのも有効です。

• パスワードはハッシュ化（不可逆変換）して保存し、ソルト（ランダム値）を付ける。ハッシュ化とは、元に戻せない形に変えることです。これによりデータベースが流出しても平文のパスワードがそのまま出るリスクを下げられます。
• 通信は必ずHTTPS（TLS）で保護する。
• 異常なログイン試行があればレート制限やIPブロックをかけるなどの対策を行う。

FAQ