応用情報技術者試験 応用情報技術者試験 令和4年度春期 午前 問42: パスワードクラック手法の一種である，レインボー攻撃に該当するものはどれか。

正解

ウ. 平文のパスワードとハッシュ値をチェーンによって管理するテーブルを準備しておき，それを用いて，不正に入手したハッシュ値からパスワードを解読する。

正答率 57.1%（1,151人中 657人が正解）

問題の解説

レインボー攻撃は、ハッシュ関数と還元関数を交互に適用した連鎖（チェーン）から成るレインボーテーブルを事前に作り、盗み出したハッシュ値からパスワードを逆引きする攻撃である。連鎖の先頭と末尾だけを保存して容量を抑える。ソルトを付けてハッシュ化すると、事前に計算したテーブルが使えなくなり、対策になる。

選択肢ごとの解説

• アほかのシステムから漏れたIDとパスワードの組をログインに試す、パスワードリスト攻撃の説明である。
• イパスワードになりうる文字列を全て試す、総当たり（ブルートフォース）攻撃の説明である。
• ウ正しい。平文とハッシュ値の対応を連鎖（チェーン）で管理するテーブルを使い、ハッシュ値から元のパスワードを割り出す。
• エ誕生日や電話番号などの個人情報を聞き出して推測する、ソーシャルエンジニアリングの手口である。