平成31年度 春期 基本情報技術者試験 午前 問37
テクノロジ／セキュリティパスワードリスト攻撃の手口に該当するものはどれか。
出典：平成31年度 春期 基本情報技術者試験 午前 問37
- ア辞書にある単語をパスワードに設定している利用者がいる状況に着目して，攻撃対象とする利用者IDを一つ定め，辞書にある単語やその組合せをパスワードとして，ログインを試行する。
- イパスワードの文字数の上限が小さいWebサイトに対して，攻撃対象とする利用者IDを一つ定め，文字を組み合わせたパスワードを総当たりして，ログインを試行する。
- ウ複数サイトで同一の利用者IDとパスワードを使っている利用者がいる状況に着目して，不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて，ログインを試行する。
- エよく用いられるパスワードを一つ定め，文字を組み合わせた利用者IDを総当たりして，ログインを試行する。
正解：ウ
解説
パスワードリスト攻撃は，複数のサイトで同一の利用者IDとパスワードを使い回している利用者が多いことに着目し，何らかの方法で不正に取得した他サイトの利用者IDとパスワードの一覧（リスト）を用いて，別のサイトへのログインを試みる攻撃です。
選択肢ごとの解説
- ア誤り。辞書にある単語やその組合せを一つの利用者IDに対して試す手口は，辞書攻撃の説明です。
- イ誤り。文字数の上限が小さいサイトに対して総当たりでパスワードを試す手口は，総当たり（ブルートフォース）攻撃の説明です。
- ウ正しい。複数サイトでの使い回しに着目し，不正に取得した利用者IDとパスワードの一覧表を使ってログインを試みるのがパスワードリスト攻撃です。
- エ誤り。よく使われるパスワードを固定して利用者IDを総当たりする手口は，リバースブルートフォース攻撃の説明です。