平成31年度 春期 応用情報技術者試験 午前 問38

• ア: 何らかの方法で事前に利用者IDと平文のパスワードのリストを入手しておき，複数のシステム間で使い回されている利用者IDとパスワードの組みを狙って，ログインを試行する。
  誤り。これは「パスワードリスト攻撃」の説明です。過去に流出したパスワードリストを使い、他のシステムに対して不正ログインを試みます。

• イ: パスワードに成り得る文字列の全てを用いて，総当たりでログインを試行する。
  誤り。これは「ブルートフォース攻撃（総当たり攻撃）」の説明です。全ての組み合わせを試行してパスワードを解読します。

• ウ: 平文のパスワードとハッシュ値をチェーンによって管理するテーブルを準備しておき，それを用いて，不正に入手したハッシュ値からパスワードを解読する。
  正しい。レインボー攻撃は、あらかじめ計算されたハッシュ値と元のパスワードの対応表（レインボーテーブル）を使用して、ハッシュ値から元のパスワードを高速に逆算する攻撃手法です。

• エ: 利用者の誕生日や電話番号などの個人情報を言葉巧みに聞き出して，パスワードを類推する。
  誤り。これは「ソーシャルエンジニアリング」の説明です。直接的な技術攻撃ではなく、人間の心理や不注意を突いた攻撃です。

答え

ウ: 平文のパスワードとハッシュ値をチェーンによって管理するテーブルを準備しておき，それを用いて，不正に入手したハッシュ値からパスワードを解読する。