応用情報技術者試験 応用情報技術者試験 平成31年度春期 午前 問38: パスワードクラック手法の一種である，レインボー攻撃に該当するものはどれか。

正解

ウ. 平文のパスワードとハッシュ値をチェーンによって管理するテーブルを準備しておき，それを用いて，不正に入手したハッシュ値からパスワードを解読する。

正答率 57.2%（1,480人中 846人が正解）

問題の解説

レインボー攻撃は、平文からハッシュ値を求めてまた別の平文へ変換することを繰り返した連鎖（チェーン）を、あらかじめ表（レインボーテーブル）にしておき、盗んだハッシュ値からパスワードを逆引きする手法である。総当たりより短時間で済み、ソルトを付けて保存すると効果を弱められる。

選択肢ごとの解説

• ア流出した ID とパスワードの組を、他のサービスで試す、パスワードリスト攻撃の説明である。
• イ全ての文字列の組合せを試す、総当たり攻撃（ブルートフォース攻撃）の説明である。
• ウ正しい。ハッシュ値の連鎖を記録したテーブルを使い、不正に入手したハッシュ値から元のパスワードを探し出す。
• エ個人情報を言葉巧みに聞き出して推測する、ソーシャルエンジニアリングを利用した手法で、ハッシュ値は使わない。