平成28年度 秋期 午前 問44

✓ これが正解アパスワードリスト攻撃

解説

他所から流出した認証情報をそのまま試す攻撃です。

同じ利用者名と同じパスワードを、いくつものサービスで使い回している人は少なくありません。攻撃者はそこに目を付けます。どこか一つのサービスから認証情報が流れ出てしまえば、その一覧をそのまま別のサービスへ持ち込んで順に試すだけで、使い回していた人の分だけ入れてしまうからです。これがパスワードリスト攻撃で、狙われるのは使い回しという利用者側の習慣でした。攻撃者から見ると、実在すると分かっている組合せを使えるので、当てずっぽうより手数が少なくて済みます。だから、別のサービスから流出した認証情報を用いて乗っ取ると述べた語が当たります。残る三つは、いずれも他所から流れ出た組合せをそのまま持ち込む形ではありませんでした。

ほかの選択肢はなぜ違うのか

• イブルートフォース攻撃：考えられる文字の組合せを片端から入力して当てにいく手口として知られる語です。試す材料は攻撃者が自分で作り出したもので、どこかから流れ出た実在の組合せを持ち込んでいるわけではありませんでした。
• ウリバースブルートフォース攻撃：パスワードのほうを固定しておき、利用者を示す側を次々に変えて当てにいく手口として知られる語です。試す向きを入れ替えた形であって、使い回しをしている人を流出した一覧から狙い撃つ形とは異なります。
• エレインボー攻撃：あらかじめ作っておいた対応表を手掛かりに、保管されている値から元のパスワードを割り出す手口として知られる語です。手掛かりは計算して用意した表であり、他のサービスの利用者名との組合せそのものではありません。