ITパスポート 2019年 春期 問59

ログイン機能をもつWebサイトへの「パスワードの盗聴」と「総当たり攻撃」対策の組合せ【ITパスポート 解説】

正解の理由

• 盗聴（通信を盗み見る攻撃）は、通信内容がそのまま見えてしまうことが原因です。したがって、通信自体を暗号化（例：HTTPS/TLS）して見えないようにすることが直接の対策になります。TLSは「Transport Layer Security（通信を暗号化する仕組み）」の略です。
• 総当たり攻撃（ブルートフォース攻撃：可能なパスワードを片っ端から試す攻撃）には、試行回数を制限する（例：ログイン失敗で一定回数後にアカウントロックや一定時間ブロックする、レートリミティングを行う）ことが有効です。試行回数を無制限にすると機械的に解かれてしまう可能性があります。

解法ステップ

1. 問題文を2つの攻撃に分けて考える。
   • 「パスワードの盗聴」＝通信を第三者が覗き見る攻撃。
   • 「総当たり攻撃」＝大量のパスワード候補を自動で試す攻撃（ブルートフォース）。
2. それぞれの攻撃が何によって防げるかを思い出す。
   • 盗聴 → 通信の内容を隠す（暗号化）。例：HTTPS (TLS)。
   • 総当たり → 試行回数を制限する・時間稼ぎをする（アカウントロック、レートリミット、CAPTCHA など）。
3. 各選択肢を当てはめて、攻撃に対して直接的に効果があるかを確認する。
   • 暗号化は盗聴に効くが、総当たりには直接効かない。
   • 推測しにくいパスワードは総当たりに有利だが、盗聴には無力（盗聴されれば入力した文字列が漏れる）。
   • シングルサインオン（SSO）は利便性や中央管理に寄与するが、総当たりを根本的に防ぐ手段ではない（下手をすると攻撃対象を集中させる）。
4. 最も適切な組合せを選ぶ → イ。

選択肢別の誤答解説

• ア（暗号化 + シングルサインオン）
  暗号化は盗聴対策として正しいですが、「シングルサインオン（SSO：Single Sign-On、1度の認証で複数サービスへログインできる仕組み）」は総当たり攻撃そのものを防ぐ対策ではありません。SSOに必要な認証部分が攻撃されれば複数サービスに影響します。よって不適切です。
• ウ（推測が難しいパスワード + シングルサインオン）
  強いパスワード（推測が難しい文字列）は総当たり攻撃に有効ですが、これは盗聴対策にはならないため「パスワードの盗聴」側が未対策です。盗聴されれば強いパスワードも漏れてしまいます。
• エ（推測が難しいパスワード + パスワードの入力試行回数を制限）
  これは総当たり対策としては有効な組合せですが、前者が盗聴対策にはならないため「パスワードの盗聴」側が未対策です。盗聴対策には通信暗号化が必要です。

よくある誤解

1. 「強いパスワードを設定すれば盗聴は問題ない」
   → 間違いです。盗聴は通信の中身をそのまま盗む行為なので、どんなに強いパスワードでも平文で送れば漏れます。暗号化が必要です。
2. 「シングルサインオン（SSO）は総当たり攻撃を防ぐ」
   → SSOは利便性と中央管理を提供しますが、総当たり攻撃の防止は認証サーバ側の対策（試行制限や多要素認証など）に依存します。むしろ一箇所が破られると影響が大きくなる点に注意です。
3. 「暗号化があれば絶対に安全」
   → 暗号化は通信途中の盗聴から守りますが、ユーザ端末やサーバ側の脆弱性、盗まれた認証情報、フィッシングなど他のリスクは残ります。総合的な対策が必要です。

補足コラム

• 暗号化の例：Webサイトでは HTTPS を使います。HTTPS は TLS（Transport Layer Security：通信を暗号化する仕組み）を使い、ブラウザとサーバ間の通信を暗号化して盗聴を防ぎます。見た目ではURLが「https://」で始まり、ブラウザの鍵マークが目印です。
• 総当たり対策の具体例：アカウントロック（3回失敗でロック）、レートリミティング（一定時間に試行できる回数の制限）、CAPTCHA（人間かボットかの判定）、多要素認証（MFA：パスワードに加え別の要素を要求）などの組合わせが効果的です。
• サーバ側の安全：パスワードはサーバ側で平文保存してはいけません。ハッシュ化（hash：一定の処理で元に戻せない形式に変換）とソルト（salt：固定でない付加情報）で保護します。これらは盗まれたデータの悪用を防ぐための重要対策です。

FAQ