パスワードのストレッチング
出典: 令和7年度 春期 応用情報技術者試験 午前 問44 (IPA)
パスワードクラックの対策のうち，ストレッチングに該当するものはどれか。
- ア あらかじめ利用者だけが知っている質問と答えをシステムに登録しておき，普段と異なるログイン方法の場合に追加で質問を行う。
- イ 一定時間内にパスワードを一定回数誤ったとき，それ以降のログインを試行できないようにする。
- ウ パスワードの照合のためのハッシュ値を，パスワードに対してハッシュ化を繰り返して，求める。
- エ パスワードの照合のためのハッシュ値を，パスワードに利用者 ID ごとに異なる文字列を付加してからハッシュ化して，求める。
正解と解説を見る
正解: ウ
- ア: これは、普段と異なる状況で追加の認証を求める、リスクベース認証 (秘密の質問) の説明です。
- イ: これは、アカウントロックの説明です。
- ウ: ハッシュ化を繰り返して求めるのがストレッチングです。正しい答えです。
- エ: これは、ソルトの説明です。
ポイント
- ストレッチングは、ハッシュ化を 何千回も繰り返して ハッシュ値を求める方法です。1 回の計算に時間が掛かるようになるので、総当たり攻撃などの パスワードクラックを難しくします。
- ソルトは、利用者ごとに異なる文字列を付加する対策です。ストレッチングとは別のものです。