🔰ハッカーは「パスワード」を狙っている🔯ミカと教授のサイバーセキュリテイ🖥️第4回

認証突破・ブルートフォース――「パスワードを当てられたら、玄関の鍵は意味がない」

ミカ「教授、前回のCSRFでは、パスワードを盗まなくてもログイン済みの状態を利用されるという話でしたね」
教授「そうだった」
ミカ「今回は、ずいぶん正面突破ですね」
教授「ブルートフォース攻撃だからな」
ミカ「ブルートフォース？」
教授「Brute Force。直訳すれば『力ずく』だ」
ミカ「サイバー攻撃なのに、急に腕力の話になりました」
教授「コンピューターの腕力は、筋肉ではなく回数だ」
ミカ「嫌な予感がします」
教授「今日は、パスワードを何度も試して当てようとする攻撃を考える」
ミカ「そんな単純な方法で突破できるのですか」
教授「単純だからこそ、侮れないのだ」

これは何を狙う攻撃なのか

ミカ「ブルートフォース攻撃は、何を狙っているのですか」
教授「認証だ。つまり、本人だけが入れるはずの入口を突破しようとする」
ミカ「ログイン画面ですね」
教授「そうだ。ユーザーIDとパスワードを入力して、『あなたは本人ですか』と確認する」
ミカ「普通の仕組みです」
教授「攻撃者は、そのパスワードを知っているとは限らない」
ミカ「では、どうするのですか」
教授「候補を何度も試す」
ミカ「1回ずつ？」
教授「人間なら疲れる。しかしコンピューターは『今日はもうやめよう』とは言わない」
ミカ「残業代も要求しません」
教授「そこが攻撃者には都合がよい」
ミカ「つまり、玄関の前で鍵を一本ずつ試しているようなものですね」
教授「まさにそうだ。鍵穴を壊すのではなく、合う鍵が見つかるまで試す」
ミカ「パスワードが当たったら？」
教授「システムから見れば、正しいパスワードを入力した人だ」
ミカ「攻撃者なのに？」
教授「システムは顔を見ていない。正しい認証情報が入力されたかを見ている」

なぜ成立するのか

ミカ「でも、普通は簡単には当たらないでしょう」
教授「そのとおり。十分に長く、推測しにくいパスワードなら難しくなる」
ミカ「では、なぜ今でも成立するのですか」
教授「人間には覚えやすいものを使いたくなる性質がある」
ミカ「誕生日とか？」
教授「名前、誕生日、電話番号の一部、単純な単語、規則的な数字などだ」
ミカ「123456みたいな？」
教授「そういう単純なものは非常に危険だ」
ミカ「でも長いパスワードは覚えにくいです」
教授「だから後でパスワードマネージャーの話をする」
ミカ「教授は、私の逃げ道を先に塞ぎますね」
教授「セキュリティの授業だからな」
ミカ「ほかにも成立する理由がありますか」
教授「ログイン試行の回数を十分に制限していないシステムも危険だ」
ミカ「何回間違えても、ずっと試せる？」
教授「そういう設計なら、攻撃者に時間を与えてしまう」
ミカ「玄関の鍵を何万回試している人がいるのに、警備員が『どうぞ続けてください』と言っているようなものですね」
教授「非常に親切な警備員だ。攻撃者に対してだけは」

パスワードが短いほど候補は少なくなる

ミカ「では、パスワードは長いほうがよいのですね」
教授「一般にそうだ」
ミカ「記号をたくさん入れることより？」
教授「複雑さも要素の一つだが、十分な長さを確保することが非常に重要だ」
ミカ「なぜですか」
教授「候補の組み合わせが増えるからだ」
ミカ「4文字と20文字では、試さなければならない可能性の数が全然違う」
教授「そうだ」
ミカ「では『password』を20回繰り返せば？」
教授「長いだけで予測しやすければ別の問題が出る」
ミカ「長ければ何でもよいわけではない」
教授「長く、推測しにくく、ほかのサービスと使い回さない。この三つは覚えておくとよい」

身近な例に置き換える

ミカ「いつもの身近な例をお願いします」
教授「では、マンションの玄関にしよう」
ミカ「今日は本当に玄関なのですね」
教授「暗証番号が4桁だとする」
ミカ「0000から9999まであります」
教授「住人は『自分の誕生日なら忘れない』と考えて、0425にした」
ミカ「覚えやすいですね」
教授「攻撃者も同じように考える」
ミカ「本人が覚えやすいものは、攻撃者にも予想しやすい」
教授「そういうことだ」
ミカ「しかも何度間違えても警報が鳴らなかったら？」
教授「攻撃者は延々と試せる」
ミカ「管理人さんは？」
教授「奥でお茶を飲んでいる」
ミカ「危機感がありませんね」
教授「システムでも同じだ。認証に失敗する試行を放置してはいけない」
ミカ「では、一定回数失敗したら？」
教授「少し待たせたり、追加の確認を求めたり、異常な試行を検知したりする」
ミカ「管理人さんがようやく玄関へ来るわけですね」
教授「できれば一杯目のお茶を飲み終わる前に来てほしい」

辞書攻撃との違い

ミカ「ブルートフォースは全部の候補を試すのですか」
教授「広い意味ではそういう考え方だ。ただし、現実にはもっと効率よく候補を絞る方法もある」
ミカ「例えば？」
教授「人間が使いそうな単語やパスワード候補を優先して試す辞書攻撃という考え方がある」
ミカ「辞書に載っている単語から試す？」
教授「そうだ。人間が作るパスワードには癖があるからな」
ミカ「愛犬の名前とか」
教授「そこに誕生年を付けたりする」
ミカ「教授、見てきたように言いますね」
教授「世界中の人間が似たことをするからだ」
ミカ「つまり攻撃者は、『人間ならこう考えるだろう』まで利用する」
教授「セキュリティでは、人間の習慣も攻撃面になる」

成立すると何が起きるか

ミカ「パスワードを当てられたら、何が起きますか」
教授「そのアカウントで許されている操作を、攻撃者が行える可能性がある」
ミカ「メールなら？」
教授「メールを読まれる、送信される、パスワード再設定メールを利用されるなど、被害が広がる可能性がある」
ミカ「クラウドサービスなら？」
教授「保存しているデータへアクセスされる可能性がある」
ミカ「会社の管理者アカウントなら？」
教授「さらに深刻だ。利用者管理、設定変更、データ閲覧など、管理者に許された権限が悪用される可能性がある」
ミカ「パスワード一本で、会社の奥まで行かれることがあるのですね」
教授「だから認証情報は玄関の鍵なのだ」
ミカ「鍵を当てられたら、立派な玄関ドアでも意味がない」
教授「今日の副題そのものだ」

一つのアカウントが突破されると連鎖することがある

ミカ「一つのサービスだけなら、まだ被害は限定的ですか」
教授「パスワードを使い回していなければ、被害を限定しやすい」
ミカ「使い回していたら？」
教授「別のサービスでも同じ認証情報が使える可能性がある」
ミカ「一つの鍵で、自宅、事務所、車、金庫を全部開けられるようなものですね」
教授「便利ではある」
ミカ「セキュリティの記事で『便利』が出ました」
教授「そろそろ警戒する癖がついたな」
ミカ「一つ盗まれたら全部開く」
教授「だから、サービスごとに異なるパスワードを使うことが重要だ」

安全な範囲で仕組みを確認する

ミカ「今回も安全な範囲で仕組みを確認してみましょう」
教授「では、実際のサービスを攻撃するのではなく、紙の上で考える」
ミカ「安心しました」
教授「ここにログイン画面があるとする」
ミカ「ユーザー名とパスワードを入力します」
教授「正しいパスワードが『Mika-Security-2026』だと仮定しよう」
ミカ「例ですね」
教授「攻撃者は正解を知らない。そこで候補Aを入れる」
ミカ「失敗」
教授「候補B」
ミカ「失敗」
教授「候補C」
ミカ「また失敗」
教授「問題は、システムが何千回でも即座に回答してくれる場合だ」
ミカ「攻撃者は候補を高速で試し続けられる」
教授「そうだ」
ミカ「では3回失敗したら10秒待たされると？」
教授「大量試行の効率が落ちる」
ミカ「さらに異常な試行を検知して管理者へ通知する」
教授「防御が一段強くなる」
ミカ「そしてパスワードが当たっても、スマートフォンへの確認が必要なら？」
教授「それが多要素認証の大きな意味だ」
ミカ「なるほど。パスワードという第一関門を突破されても、まだ第二関門がある」
教授「そうだ。一つの秘密だけに全部を任せない」

プログラマーはどう防ぐか

ミカ「では開発側の対策です」
教授「まず、ログイン試行を無制限に受け付けないことだ」
ミカ「レート制限ですね」
教授「一定時間内の試行回数を制御し、異常な大量試行を難しくする」
ミカ「失敗するたびに待ち時間を増やす方法もありますね」
教授「有効な選択肢の一つだ」
ミカ「アカウントをすぐロックすればよいのでは？」
教授「単純な永久ロックにも問題がある。攻撃者が他人のアカウントをわざと何度も失敗させれば、正規利用者を締め出せるからだ」
ミカ「なるほど。防御機能そのものを嫌がらせに利用される」
教授「だから、待ち時間、追加認証、通知などを組み合わせる設計が必要になる」

多要素認証を使う

ミカ「やはりMFAですか」
教授「非常に重要だ」
ミカ「パスワードが『知っているもの』なら、スマートフォンなど別の要素を追加する」
教授「そうだ。攻撃者がパスワードを知っていても、それだけではログインできない仕組みにする」
ミカ「玄関の鍵を開けても、警備員が顔を確認する」
教授「そんなイメージだ」
ミカ「ではパスワードは不要になりますか」
教授「方式によるが、多要素認証は認証を一段強くする考え方だ。さらに近年はパスキーなど、パスワードへの依存を減らす仕組みも広がっている」
ミカ「パスワードとの長い付き合いも、いつか終わるのでしょうか」
教授「少なくとも『Password123』とは早く別れたほうがよい」

パスワードを平文で保存してはいけない

ミカ「プログラマー側でもう一つ重要なことがありますよね」
教授「パスワードの保存方法だ」
ミカ「データベースにそのまま『mypassword』と保存してはいけない」
教授「もちろんだ」
ミカ「なぜですか」
教授「データベースが漏えいした場合、利用者のパスワードそのものまで知られてしまうからだ」
ミカ「では、どうするのですか」
教授「適切なパスワードハッシュ方式を使い、元のパスワードをそのまま保存しない」
ミカ「暗号化とは違うのですか」
教授「そこは別の記事にしてもよい重要なテーマだ。今日は、サービス側が利用者のパスワードを読める形のまま持たないと覚えておこう」
ミカ「『パスワードを忘れたので教えてください』と問い合わせたとき、会社から元のパスワードが返信されてきたら？」
教授「私はそのサービスの別の部分まで心配になる」

エラーメッセージにも注意する

ミカ「ログイン画面のエラーメッセージも関係ありますか」
教授「ある」
ミカ「『このユーザー名は存在しますが、パスワードが違います』など？」
教授「そうした表示は、攻撃者にアカウントの存在を教える材料になる場合がある」
ミカ「では『ユーザー名またはパスワードが違います』とまとめる」
教授「よく使われる考え方だ」
ミカ「親切すぎるエラー画面が、攻撃者にも親切になる」
教授「セキュリティでは、親切の相手を選ばなければならない」

プログラマーが覚えておきたい基本

ミカ「今回もまとめてください」
教授「では七つだ」
・ログイン試行に適切なレート制限を設ける
・失敗が続く場合は待ち時間や追加確認を導入する
・多要素認証やパスキーなど強い認証方式を検討する
・パスワードを平文で保存せず、適切なパスワードハッシュ方式を使う
・異常なログイン試行を監視し、必要に応じて通知する
・エラーメッセージから不要なアカウント情報を漏らさない
・管理者アカウントには一般利用者より強い防御を設ける
ミカ「今回も一つの対策だけではありませんね」
教授「城に門番を置いたから、城壁を壊してよいとはならない」

経営者・利用者はどう防ぐか

ミカ「では私たち利用者は何をすればよいですか」
教授「第一に、推測されにくい十分に長いパスワードを使う」
ミカ「覚えきれません」
教授「そこでパスワードマネージャーだ」
ミカ「サービスごとに違う長いパスワードを保存してくれる」
教授「そうだ。人間が全部暗記する必要はない」
ミカ「私の記憶力をセキュリティ装置にしない」
教授「非常に賢明だ」
ミカ「次は？」
教授「パスワードを使い回さない」
ミカ「一つ漏れたら他にも波及するからですね」
教授「そして利用できるサービスでは多要素認証やパスキーを有効にする」
ミカ「つまり、パスワード一本足打法をやめる」
教授「その表現は野球界から抗議が来そうだ」

「誕生日だから覚えやすい」は相手も同じ

ミカ「では、家族の名前や誕生日は？」
教授「推測材料になりやすいので避けたほうがよい」
ミカ「SNSに誕生日を書いていたら、なおさらですね」
教授「攻撃者が知る必要のある情報を、自分から公開している場合もある」
ミカ「『今日は60歳の誕生日です』」
教授「その投稿はお祝いにはよいが、パスワードに誕生日を使っているなら話が変わる」
ミカ「孫の名前も？」
教授「公開情報と結びつきやすいものは避けたい」
ミカ「人間は思い出をパスワードにしたがりますね」
教授「攻撃者は、その思い出を候補リストにしたがる」

経営者が確認すべきこと

ミカ「会社の経営者は、何を確認すればよいでしょう」
教授「まず、重要なクラウドサービスや管理画面で多要素認証を使っているか」
ミカ「管理者だけでも必須にしたいですね」
教授「可能なら一般利用者にも広げたい」
ミカ「退職者のアカウントが残っていないかも重要そうです」
教授「そのとおりだ。使われていないアカウントは、忘れられた玄関のようなものだ」
ミカ「誰も見ていない入口」
教授「さらに、異常なログイン試行を検知できるか、管理者へ通知されるかも確認したい」
ミカ「パスワードの強さだけでなく、認証システム全体を見る」
教授「そういうことだ」

ブルートフォースとクレデンシャルスタッフィングは違う

ミカ「ところで教授、盗まれたパスワードを別のサイトで試す攻撃もありますよね」
教授「よく気づいた。それは次に扱うクレデンシャルスタッフィングだ」
ミカ「ブルートフォースとは違う？」
教授「違う。ブルートフォースは、正解を知らずに候補を何度も試して当てようとする」
ミカ「クレデンシャルスタッフィングは？」
教授「どこかから流出した実在のIDとパスワードの組み合わせを、別のサービスでも試す」
ミカ「だからパスワードの使い回しが危険なのですね」
教授「その話は次回、じっくりやろう」

ミカと教授の一言で締める

ミカ「教授、今日のブルートフォース攻撃を一言で説明してください」
教授「正しい鍵を知らない攻撃者が、合う鍵が見つかるまで大量の候補を試す攻撃だ」
ミカ「守る側の一言は？」
教授「鍵を複雑にするだけではなく、何千本もの鍵を自由に試させないこと」
ミカ「そして、鍵が開いても第二の確認をする」
教授「多要素認証だな」
ミカ「長くて推測しにくいパスワード、使い回さない、MFA、試行回数の制御」
教授「よく覚えた」
ミカ「でも教授、パスワードを覚えるのが大変です」
教授「覚える必要はない。パスワードマネージャーに覚えてもらいなさい」
ミカ「では私は何を覚えれば？」
教授「パスワードを使い回さないことを覚えておけばよい」
ミカ「それくらいなら覚えられそうです」
教授「それを忘れたら？」
ミカ「パスワードマネージャーにメモしておきます」
教授「そこまで行けば、今日の授業は成功だ」

次回予告

第5回　クレデンシャルスタッフィング――「盗まれたパスワードは、別のサイトでも試される」

ミカ「次回は、パスワードを当てる必要すらないのですね」
教授「そうだ。他社から漏れた鍵を、そのまま自社の玄関で試される」
ミカ「一つの鍵を使い回すのが、急に怖くなりました」
教授「怖くなった今日が、変更するには一番よい日だ」