修了試験 2017-12-10実施分 基本情報技術者試験 問37

解説

正解は3です。 パスワードリスト攻撃は、どこかのWebサイトから流出した利用者IDとパスワードの組のリストを使い、別のWebサイトへのログインを試みる攻撃です。 複数のサイトで同じIDとパスワードを使い回している利用者が被害に遭います。 リストの組は実際に使われていたものなので、少ない試行回数で成功しやすいのが特徴です。 【選択肢別解説】 1：× 一般的な単語や人名からパスワードの候補を作って試すのは、辞書攻撃の手口です。 流出したIDとパスワードの組を使うわけではありません。 2：× パスワードとハッシュ値の対応表を使って、ハッシュ値から元のパスワードを解析するのは、レインボーテーブル攻撃の手口です。 3：○ 他のサイトから流出したIDとパスワードのリストで、別のサイトへのログインを試すのは、パスワードリスト攻撃の手口です。 4：× ピクチャパスワードの入力を録画して利用するのは、のぞき見（ショルダーハッキング）に近い手口です。 流出したリストを使うパスワードリスト攻撃ではありません。 【ポイント】 パスワードリスト攻撃への最も効果的な対策は、利用者がサイトごとに異なるパスワードを使うことです。 サイト側では、多要素認証の導入やログイン試行の監視が有効です。