応用情報技術者試験 応用情報技術者試験 令和7年度春期 午前 問44: パスワードクラックの対策のうち，ストレッチングに該当するものはどれか。

正解

ウ. パスワードの照合のためのハッシュ値を，パスワードに対してハッシュ化を繰り返して，求める。

正答率 66.8%（930人中 621人が正解）

問題の解説

ストレッチングは、パスワードからハッシュ値を求める処理を多数回繰り返して、1 回のハッシュ計算にかかる時間を意図的に長くする対策である。攻撃者が総当たりや辞書攻撃で試せる回数が減るため、ハッシュ値が漏えいしても解読を難しくできる。

選択肢ごとの解説

• アあらかじめ登録した質問に答えさせ、普段と異なるログインのときだけ追加で認証するのは、リスクベース認証（秘密の質問）の考え方である。
• イ一定回数誤ったらログインを試行できなくするのは、アカウントロックである。
• ウ正しい。ハッシュ化を繰り返して照合用のハッシュ値を求めることで、1 回の計算を重くし、総当たりなどに必要な時間を増やすのがストレッチングである。
• エ利用者 ID ごとに異なる文字列を付加してからハッシュ化するのは、ソルトである。同じパスワードでも違うハッシュ値になり、レインボーテーブル攻撃を防げる。