情報セキュリティマネジメント試験 過去問解説
パスワードリスト攻撃とは？情報セキュリティマネジメント試験 平成28年度秋期 午前 問26を解説
情報セキュリティマネジメント試験 平成28年度秋期 午前 問26は、パスワードリスト攻撃に関する理解を問う問題です。検索から入っても、問題文、選択肢、正解、解説、各選択肢がなぜ違うかをこのページだけで確認できます。
問題文
パスワードリスト攻撃に該当するものはどれか。
この問題の出題ポイント
- パスワードリスト攻撃の定義だけでなく、問題文中の条件がどの選択肢に当てはまるかを確認する。
選択肢
- ア一般的な単語や人名からパスワードのリストを作成し，インターネットバンキングへのログインを試行する。
- イ想定し得るパスワードとそのハッシュ値との対のリストを用いて，入手したハッシュ値からパスワードを効率的に解析する。
- ウどこかの Web サイトから流出した利用者 ID とパスワードのリストを用いて，他の Web サイトに対してログインを試行する。正解
- エピクチャパスワードの入力を録画してリスト化しておき，それを利用することによってタブレット端末へのログインを試行する。
正解
ウ: どこかの Web サイトから流出した利用者 ID とパスワードのリストを用いて，他の Web サイトに対してログインを試行する。
解説
パスワードリスト攻撃とは，あるサイトから漏えいした利用者 ID とパスワードの組合せのリストを使い，利用者が複数サイトで同じ認証情報を使い回している（パスワードの使い回し）ことを悪用して別のサイトへ不正ログインを試みる攻撃である。流出した ID・パスワードのリストを他の Web サイトへのログインに用いると説明している（ウ）がこれに該当する。
なぜ他の選択肢が違うのか
ア
辞書に載っている単語や人名などからパスワード候補を作って試す辞書攻撃の説明であり，パスワードリスト攻撃ではない。
イ
パスワードとそのハッシュ値の対応表（レインボーテーブル）を使ってハッシュ値から元のパスワードを逆算する攻撃の説明であり，該当しない。
ウ（正解）
正しい。他サイトから流出した ID・パスワードのリストを使い回しを狙って別サイトへ試行する行為で，パスワードリスト攻撃の定義そのものである。
エ
入力操作を盗み見・録画して認証情報を得るショルダーハッキング的手法の説明であり，リストの使い回しを悪用するものではない。
解き方の整理
パスワードリスト攻撃の問題では、選択肢のキーワードだけで判断せず、問題文が示す条件と正解選択肢の説明が一致しているかを見ます。誤答選択肢は、似た用語を混ぜる、主体を入れ替える、目的や範囲を広げすぎる、という形で作られることが多いため、選択肢別解説まで確認しておくと復習効率が上がります。
関連問題
前後の問題
復習を続ける
間違えた問題、苦手タグ、模試履歴を保存して復習する導線を用意しています。広告なしPro、弱点分析、復習リマインダーは段階的に提供予定です。