応用情報技術者試験 応用情報技術者試験 令和5年度秋期 午前 問36: パスワードクラック手法の一種である，レインボーテーブル攻撃に該当するものはどれか。

正解

ウ. 平文のパスワードとハッシュ値をチェーンによって管理するテーブルを準備しておき，それを用いて，不正に入手したハッシュ値からパスワードを解読する。

正答率 55.9%（828人中 463人が正解）

問題の解説

レインボーテーブル攻撃は、平文のパスワードとハッシュ値の対応を、ハッシュ関数と還元関数を交互に適用したチェーンの形で小さく保持するテーブルを事前に作り、盗んだハッシュ値からパスワードを逆引きする手法である。パスワードにソルトを付けてハッシュ化すると、事前に作ったテーブルが使えなくなる。

選択肢ごとの解説

• アパスワードリスト攻撃（リスト型攻撃）の説明である。流出した利用者 ID とパスワードの組をそのまま使い、他のサービスへのログインを試みる。
• イ総当たり（ブルートフォース）攻撃の説明である。ログインを繰り返し試す点で、事前に作ったテーブルでハッシュ値を逆引きするレインボーテーブル攻撃とは異なる。
• ウ正しい。平文のパスワードとハッシュ値の対応をチェーンで管理するテーブルを事前に用意し、入手したハッシュ値からパスワードを割り出す。
• エソーシャルエンジニアリングや類推による攻撃の説明である。個人情報を聞き出してパスワードを推測するもので、ハッシュ値は使わない。