令和7年度 春期 応用情報技術者試験 午前 問44
テクノロジ／セキュリティパスワードクラックの対策のうち，ストレッチングに該当するものはどれか。
出典：令和7年度 春期 応用情報技術者試験 午前 問44
- アあらかじめ利用者だけが知っている質問と答えをシステムに登録しておき，普段と異なるログイン方法の場合に追加で質問を行う。
- イ一定時間内にパスワードを一定回数誤ったとき，それ以降のログインを試行できないようにする。
- ウパスワードの照合のためのハッシュ値を，パスワードに対してハッシュ化を繰り返して，求める。
- エパスワードの照合のためのハッシュ値を，パスワードに利用者 ID ごとに異なる文字列を付加してからハッシュ化して，求める。
正解：ウ
解説
ストレッチングは，パスワードのハッシュ化を数千〜数万回繰り返すことで1回の照合に掛かる計算コストを意図的に大きくし，総当たり攻撃や辞書攻撃に要する時間を引き延ばす手法です。ソルトと組み合わせて使われるのが一般的です。
選択肢ごとの解説
- ア誤り。あらかじめ登録した質問と答えを使って追加で確認するのは，リスクベース認証における追加認証（秘密の質問）の説明です。
- イ誤り。一定回数誤ったときにそれ以降のログインを試行できなくするのは，アカウントロックの説明です。
- ウ正しい。パスワードに対してハッシュ化を繰り返して照合用のハッシュ値を求めるのがストレッチングです。
- エ誤り。利用者 ID ごとに異なる文字列を付加してからハッシュ化するのはソルトの説明で，レインボーテーブル攻撃への対策です。