【過去問解説】平成28年度 秋期 情報セキュリティマネジメント試験（SG） 午前 問26

出典：平成28年度秋期情報セキュリティマネジメント試験（SG）午前問26

難易度設定

予備知識を表示する
ピヨ意訳を表示する
ピヨピヨ解説を表示する

予備知識

用語	意味
パスワード	合言葉のこと
パスワードリスト攻撃	他人のアカウントを乗っ取るときのやり方のひとつで、他のサービスから盗んだ利用者の情報（IDとパスワードの組み合わせ）を片っ端から試していくやり方
ログイン	特定の人しか入れない場所や使えないサービスを「自分はOKな人ですよー」な認証を受けて使える状態にすること
ハッシュ値	元のデータをあれやこれやして生成されたランダム（に見える）値
Webサイト	ホームページのこと……というのは厳密には違いますが、ホームページのことだと思って良いです
ピクチャパスワード	事前に登録された操作をさせることで使ってOKな人かどうかを判断する認証のやり方

問題

問題文
パスワードリスト攻撃に該当するものはどれか。
ピヨ意訳：パスワードリスト攻撃の例として正しいのは、どれ？

解答選択肢
ア	一般的な単語や人名からパスワードのリストを作成し，インターネットバンキングへのログインを試行する。
ア	ピヨ意訳：「一般的な人名や地名」を一覧にして、それを元にパスワードを破る
イ	想定され得るパスワードとそのハッシュ値との対のリストを用いて，入手したハッシュ値からパスワードを効率的に解析する。
イ	ピヨ意訳：「考えられるパスワードとそのハッシュ値」を一覧にして、それをもとにしてパスワードを破る
ウ	どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて，他のWebサイトに対してログインを試行する。
ウ	ピヨ意訳：「他のホームページで使っていたIDとパスワード」を一覧にして、それをもとにしてパスワードを破る
エ	ピクチャパスワードの入力を録画してリスト化しておき，それを利用することでタブレット端末へのログインを試行する。
エ	ピヨ意訳：「ピクチャパスワードの入力操作を録画したもの」を一覧にして、それをもとにしてパスワードを破る

正解

正解
ウ	どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて，他のWebサイトに対してログインを試行する。
ウ	ピヨ意訳：「他のホームページで使っていたIDとパスワード」を一覧にして、それをもとにしてパスワードを破る

ピヨピヨ解説

おぉ、これは本当に「パスワードリスト攻撃」の意味を知らないと解けない問題ですね。

パスワードリスト攻撃は、他のサービスから盗んだ利用者の情報（IDとパスワードの組み合わせ）を片っ端から試していくやり方です。

例えば、ピヨ太君が動画共有サービス「ぴよぴよ動画」で使っているIDとパスワードを、あなたがひょんなきっかけから入手したとしましょう。
このIDとパスワードの組み合わせを、つぶやきサービス「ぴよったー」に入力してみて「ピヨ太君として入れないかな～？」を試すのがパスワードリスト攻撃です。

パスワード「リスト」攻撃と呼ぶくらいなので、ピヨ太君一人分ではなくて、たくさんのIDを盗んで、一気に試しますけどね。
やっていることは「盗んだIDとパスワードの組み合わせを他のサービスで試す」です。

ということで「ウ：どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて，他のWebサイトに対してログインを試行する。」が正解です。