基本情報技術者試験 基本情報技術者試験 平成31年度 春期 午前 午前 問37: パスワードリスト攻撃の手口に該当するものはどれか。

問題本文

パスワードリスト攻撃の手口に該当するものはどれか。

選択肢

• ア.辞書にある単語をパスワードに設定している利用者がいる状況に着目して，攻撃対象とする利用者 ID を一つ定め，辞書にある単語やその組合せをパスワードとして，ログインを試行する。
• イ.パスワードの文字数の上限が小さい Web サイトに対して，攻撃対象とする利用者 ID を一つ定め，文字を組み合わせたパスワードを総当たりして，ログインを試行する。
• ウ.複数サイトで同一の利用者 ID とパスワードを使っている利用者がいる状況に着目して，不正に取得した他サイトの利用者 ID とパスワードの一覧表を用いて，ログインを試行する。
• エ.よく用いられるパスワードを一つ定め，文字を組み合わせた利用者 ID を総当たりして，ログインを試行する。

正解

ウ. 複数サイトで同一の利用者 ID とパスワードを使っている利用者がいる状況に着目して，不正に取得した他サイトの利用者 ID とパスワードの一覧表を用いて，ログインを試行する。

解説

パスワードリスト攻撃は、別サイトで漏洩した ID/パスワード一覧を使って同じ ID/パスワードを使い回す利用者を狙う攻撃。ウが正解。

選択肢ごとの解説

• ア.辞書にある単語を試すのは辞書攻撃の説明。
• イ.総当たりは総当たり攻撃 (ブルートフォース)。
• ウ.別サイトから漏洩した ID/パスワード一覧を使う。パスワードリスト攻撃の定義で正解。
• エ.ID を総当たりするのはリバースブルートフォース。