パスワードリスト攻撃とは？ITパスポート試験 2017年 (平成29年 春期) 問95を解説

問題文

この問題の出題ポイント

• パスワードリスト攻撃の定義だけでなく、問題文中の条件がどの選択肢に当てはまるかを確認する。
• テクノロジ系分野では、用語の目的・主体・責任範囲の違いが選択肢で問われやすい。
• 関連タグ: パスワードリスト攻撃、パスワード管理。

選択肢

1. アIDとパスワードを暗号化されていない通信を使ってやり取りしていた。
2. イ同じIDと同じパスワードを設定していた。正解
3. ウ種類が少ない文字を組み合わせたパスワードを設定していた。
4. エ短いパスワードを設定していた。

解説

なぜ他の選択肢が違うのか

• ア

  誤り。「暗号化されていない通信でやり取り」したことは通信盗聴(盗聴リスク)の問題である。確かに平文通信ではパスワードを盗聴される危険があるが、パスワードリスト攻撃は既に別サイトから流出した認証情報を使う攻撃であり、通信暗号化の有無は別サイトでの被害の原因とは直接結びつかない。

• イ（正解）

  正しい。「同じIDと同じパスワードを複数サービスで使い回していた」ことがパスワードリスト攻撃の被害を招く根本原因である。一つのサービスの認証情報が漏えいすると、同じ組合せを使う他サービスにも不正ログインされてしまう。サービスごとに異なる強固なパスワードを設定することが防止策。

• ウ

  誤り。「種類が少ない文字を組み合わせたパスワード」は総当たり攻撃(ブルートフォース)や辞書攻撃に対して脆弱であることを指す。これらは攻撃者がパスワードを解析して特定しようとする攻撃であり、パスワードリスト攻撃はすでに正しい認証情報を持っているため文字種の多少は関係しない。

• エ

  誤り。「短いパスワード」はブルートフォース攻撃に対して脆弱であることの問題点である。総当たりで解析される可能性が高くなるが、パスワードリスト攻撃は解析を行わず既存の正しい認証情報をそのまま使用するため、パスワードの長さはリスト攻撃の被害原因とは直接関係しない。

解き方の整理

パスワードリスト攻撃の問題では、選択肢のキーワードだけで判断せず、問題文が示す条件と正解選択肢の説明が一致しているかを見ます。誤答選択肢は、似た用語を混ぜる、主体を入れ替える、目的や範囲を広げすぎる、という形で作られることが多いため、選択肢別解説まで確認しておくと復習効率が上がります。

関連用語

• パスワードリスト攻撃セキュリティ

関連問題

前後の問題

2017年 (平成29年 春期) の関連する問題

2017年 (平成29年 春期)の問題一覧 ITパスポート試験の解説一覧