システム監査技術者 2013年午前2 問21

問題文

ブルートフォース攻撃に該当するものはどれか。

🖊️ 解答を隠して解いてみる

ア：可能性のある文字のあらゆる組合せのパスワードでログインを試みる。（正解）

イ：コンピュータへのキー入力を全て記録して外部に送信する。

ウ：盗聴者が正当な利用者のログインシーケンスをそのまま記録してサーバに送信する。

エ：ブラウザとWebサーバの間の通信で、認証が成功してセッションが開始されているときに、Cookieなどのセッション情報を盗む。

🔒 解説は解答すると表示されます

ブルートフォース攻撃は、パスワードの候補を総当たりで試し、正しいパスワードを見つけようとする攻撃です。

アは、使用可能な文字のあらゆる組合せをパスワードとしてログインを試みています。これは総当たり攻撃そのものなので、正解です。

パスワードを盗む攻撃全般をブルートフォース攻撃だと思う
ブルートフォース攻撃は、パスワードを盗むのではなく、候補を試して正解を探す攻撃です。
よく使われるパスワードだけを試す攻撃と混同する
よく使われるパスワードを候補にして試す方法は、辞書攻撃と呼ばれます。候補を網羅的に試すブルートフォース攻撃とは区別します。
ログイン後の情報を盗む攻撃と混同する
セッション情報を盗むセッションハイジャックは、パスワード候補を総当たりする攻撃ではありません。

パスワードの文字数や使用文字の種類が増えると、試す必要のある組合せが急増します。例えば、使用できる文字が

n

種類で、パスワードの長さが

k

文字なら、固定長の候補数は

n^{k}

通りです。

多要素認証の導入や、ログイン試行回数の制限も、ブルートフォース攻撃への対策として有効です。

Q. ブルートフォース攻撃と辞書攻撃の違いは何ですか？
A. ブルートフォース攻撃は文字の組合せなどを総当たりで試します。一方、辞書攻撃は、よく使われる単語や流出したパスワードなど、用意した候補を優先的に試します。

Q. パスワードを長くすると、なぜ有効なのですか？
A. パスワードが長くなるほど候補数が大きく増え、正しいパスワードに到達するまでに必要な試行回数が増えるためです。

関連キーワード: ブルートフォース攻撃、辞書攻撃、キーロガー、リプレイ攻撃、セッションハイジャック

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！