情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和5年度春期 午前Ⅱ 問2: Pass the Hash 攻撃はどれか。

問題本文

Pass the Hash 攻撃はどれか。

選択肢

• ア.パスワードのハッシュ値から導出された平文パスワードを使ってログインする。
• イ.パスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。
• ウ.パスワードを固定し，利用者 ID の文字列のハッシュ化を繰り返しながら様々な利用者 ID を試してログインする。
• エ.ハッシュ化されずに保存されている平文パスワードを使ってログインする。

正解

イ. パスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。

解説

Pass the Hashは、認証で平文パスワードの代わりにそのハッシュ値そのものを提示すればログインできるWindowsのNTLM認証等の仕組みを悪用する攻撃。攻撃者はメモリやSAMから盗んだハッシュを用い、平文へ復元せずに横展開する。イがこの特徴を正確に述べており正解。実務では特権アカウントの使い回し制限やLAPS、Credential Guard等でハッシュ窃取と再利用を防ぐ。

選択肢ごとの解説

• ア.ハッシュから平文を導出して使う説明だが、本攻撃はハッシュのまま使う点が要点で誤り。
• イ.盗んだハッシュ値だけで認証が通る仕組みを悪用する点がPass the Hashの本質で正しい。
• ウ.利用者IDを変えて試行する説明でIDの総当たりに近く、ハッシュ再利用の攻撃ではなく誤り。
• エ.平文で保存されたパスワードを使う説明で、ハッシュを悪用する本攻撃とは異なり誤り。