応用情報技術者試験 応用情報技術者試験 令和7年度春期 午前 問44: パスワードクラックの対策のうち，ストレッチングに該当するものはどれか。

正解

ウ. パスワードの照合のためのハッシュ値を，パスワードに対してハッシュ化を繰り返して，求める。

正答率 66.8%（925人中 618人が正解）

問題の解説

パスワードを保護する各手法の名称と内容の対応を問う問題。ストレッチング(stretching)とは，パスワードのハッシュ化を 1 回で終えず数千〜数万回繰り返してハッシュ値を求める手法で，1 件あたりの計算コストを意図的に増やしてオフラインの総当たり攻撃を遅くする。よってハッシュ化を繰り返すと述べたウが正解。

選択肢ごとの解説

• アあらかじめ登録した秘密の質問で追加認証を行うのはリスクベース認証(知識認証の追加)であり，ストレッチングではないので誤り。
• イ一定回数の失敗でログインを禁止するのはアカウントロック(ロックアウト)であり，オンライン攻撃を抑止する別の対策なので誤り。
• ウ正しい。パスワードに対しハッシュ化を繰り返してハッシュ値を求めるのがストレッチングで，攻撃側の試行 1 回あたりの計算量を増やして解析を困難にする。
• エ利用者ごとに異なる文字列(ソルト)を付加してからハッシュ化するのはソルト付与であり，同一パスワードでも異なるハッシュ値にしてレインボーテーブル攻撃を防ぐ別の対策なので誤り。