レインボーテーブル攻撃
出典: 令和5年度 秋期 応用情報技術者試験 午前 問36 (IPA)
パスワードクラック手法の一種である，レインボーテーブル攻撃に該当するものはどれか。
- ア 何らかの方法で事前に利用者 ID と平文のパスワードのリストを入手しておき，複数のシステム間で使い回されている利用者 ID とパスワードの組みを狙って，ログインを試行する。
- イ パスワードに成り得る文字列の全てを用いて，総当たりでログインを試行する。
- ウ 平文のパスワードとハッシュ値をチェーンによって管理するテーブルを準備しておき，それを用いて，不正に入手したハッシュ値からパスワードを解読する。
- エ 利用者の誕生日，電話番号などの個人情報を言葉巧みに聞き出して，パスワードを類推する。
正解と解説を見る
正解: ウ
- ア: 他で入手した ID とパスワードの組を使い回しを狙って試すのは、パスワードリスト攻撃です。
- イ: 考えられる文字列をすべて試すのは、総当たり攻撃 (ブルートフォース攻撃) です。
- ウ: パスワードとハッシュ値をチェーンで管理するテーブルで、ハッシュ値からパスワードを解読するのはレインボーテーブル攻撃なので正しい答えです。
- エ: 言葉巧みに個人情報を聞き出すのは、ソーシャルエンジニアリングです。
ポイント
- レインボーテーブル攻撃: 平文のパスワードとハッシュ値の対応を、チェーン という形で効率よくまとめたテーブル (レインボーテーブル) を事前に作っておき、盗んだハッシュ値から元のパスワードを探し出す攻撃です。
- 対策として、パスワードごとに異なるランダムな値 (ソルト) を加えてからハッシュ化します。