情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成30年度秋期 午前Ⅰ 問14: ブルートフォース攻撃に該当するものはどれか。

問題本文

ブルートフォース攻撃に該当するものはどれか。

選択肢

• ア.WebブラウザとWebサーバの間の通信で，認証が成功してセッションが開始されているときに，Cookieなどのセッション情報を盗む。
• イ.コンピュータへのキー入力を全て記録して外部に送信する。
• ウ.使用可能な文字のあらゆる組合せをそれぞれパスワードとして，繰り返しログインを試みる。
• エ.正当な利用者のログインシーケンスを盗聴者が記録してサーバに送信する。

正解

ウ. 使用可能な文字のあらゆる組合せをそれぞれパスワードとして，繰り返しログインを試みる。

解説

ブルートフォース攻撃(総当たり攻撃)は、使用可能な文字の全組合せを順にパスワードとして試し、ログイン突破を狙う手法。よってウが正解。対策にはアカウントロック、十分な長さと複雑さのパスワード、多要素認証が有効。逆に少数のよく使われるパスワードを多数アカウントへ試すパスワードスプレー攻撃とは試行の向きが異なる点も押さえたい。

選択肢ごとの解説

• ア.確立済みセッション情報を盗むのはセッションハイジャックで、総当たりとは異なり誤り。
• イ.キー入力を記録して送信するのはキーロガーの動作で、総当たり攻撃ではなく誤り。
• ウ.全文字の組合せを順に試してログインを繰り返すのがブルートフォースそのもので正しい。
• エ.記録した認証手順を再送するのはリプレイ攻撃で、総当たりとは別物のため誤り。