平成31年度 春期 応用情報技術者試験 午前 問38
テクノロジ／セキュリティパスワードクラック手法の一種である，レインボー攻撃に該当するものはどれか。
出典：平成31年度 春期 応用情報技術者試験 午前 問38
- ア何らかの方法で事前に利用者 ID と平文のパスワードのリストを入手しておき，複数のシステム間で使い回されている利用者 ID とパスワードの組みを狙って，ログインを試行する。
- イパスワードに成り得る文字列の全てを用いて，総当たりでログインを試行する。
- ウ平文のパスワードとハッシュ値をチェーンによって管理するテーブルを準備しておき，それを用いて，不正に入手したハッシュ値からパスワードを解読する。
- エ利用者の誕生日や電話番号などの個人情報を言葉巧みに聞き出して，パスワードを類推する。
正解：ウ
解説
レインボー攻撃は，平文のパスワードとそのハッシュ値を還元関数によってチェーン状につないだ「レインボーテーブル」をあらかじめ用意しておき，不正に入手したハッシュ値から元のパスワードを高速に割り出す手法です。ソルトを付加することが有効な対策となります。
選択肢ごとの解説
- ア誤り。事前に入手した ID とパスワードの組みで使い回しを狙うのはパスワードリスト攻撃です。
- イ誤り。あり得る文字列を全て試すのは総当たり（ブルートフォース）攻撃です。
- ウ正しい。平文とハッシュ値をチェーンで管理したテーブル（レインボーテーブル）を用いてハッシュ値からパスワードを解読するのがレインボー攻撃です。
- エ誤り。個人情報を言葉巧みに聞き出してパスワードを類推するのはソーシャルエンジニアリングです。