サイバー攻撃手法とマルウェア｜平成28年度 秋期 情報セキュリティマネジメント試験 午前 問26

• 一般的な単語や人名からパスワードのリストを作成し，インターネットバンキングへのログインを試行する。
• 想定し得るパスワードとそのハッシュ値との対のリストを用いて，入手したハッシュ値からパスワードを効率的に解析する。
• ✓ これが正解どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて，他のWebサイトに対してログインを試行する。
• ピクチャパスワードの入力を録画してリスト化しておき，それを利用することによってタブレット端末へのログインを試行する。

解説

他サイトから流出したIDとパスワードを使い回して試す攻撃です。

パスワードリスト攻撃は、どこかのWebサイトから流出した利用者IDとパスワードの組みを攻撃者が手に入れ、その同じ組みを別のWebサイトのログインで試す攻撃です。同じ組合せを複数のサービスで使い回している利用者が多い、という実態を突いています。実在する正しい組みをそのまま入力するので、当てずっぽうを繰り返す攻撃と比べて試行回数が少なくて済み、失敗の連続を見張るアカウントロックにも掛かりにくいのが厄介な点です。利用者側の基本の備えは、サービスごとに違うパスワードを使い、使い回しをやめることです。

ほかの選択肢はなぜ違うのか

• 一般的な単語や人名を並べた一覧から当たりそうなパスワードを推測して試すやり方は、辞書攻撃と呼ばれます。あらかじめ用意するのは語句の一覧であって、実際にどこかから漏れた認証情報ではありません。
• 想定し得るパスワードとそのハッシュ値の対をあらかじめ計算した表を持っておき、入手したハッシュ値から元の値を割り出す手法は、レインボーテーブル攻撃と呼ばれます。ログイン画面に認証情報を入力していく攻撃ではありません。
• ピクチャパスワードの入力の様子を録画して一覧にしておく行為は、他人の操作を盗み見て認証の手掛かりを得るやり方です。別のサイトから漏れた認証情報を持ち込んで試すという形にはなっていません。

この問題に関係する言葉

• パスワードリスト攻撃他のサイトから流出した、実在する利用者IDとパスワードの組を使ってログインを試す攻撃。同じ組を使い回している人だけが破られます。
• 辞書攻撃辞書に載っている単語や人名など、ありがちな語をパスワードとして試す攻撃。候補を攻撃者が作る点が、流出品を使うパスワードリスト攻撃と違います。
• クレデンシャルスタッフィング流出したIDとパスワードの組を、別のサイトで試していく攻撃です。パスワードリスト攻撃とも呼ばれ、使い回しを狙います。

出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問26

この問題を演習で解く

同じ単元をまとめて解くならサイバー攻撃手法とマルウェアへ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）