問題 No.4912
ブルートフォース攻撃（総当たり攻撃）に関する記述として不適切なものはどれか。
【正解の解説】
攻撃対象の利用者の誕生日や電話番号など、推測されやすい個人情報に関連する文字列を優先的に組み合わせてパスワードを破る手法である。
これはブルートフォース攻撃ではなく、人間の心理や個人情報のクセを利用してパスワードを当てる「推測攻撃」や「辞書攻撃」の説明です。ブルートフォース攻撃は、そのような賢い絞り込みを一切せず、自転車のダイヤル錠を「0000」から「9999」まで力づくですべて試すような、文字通りの総当たり手法を指します。
スポンサーリンク
【その他の選択肢の解説】
利用可能なすべての文字の組み合わせを体系的かつ網羅的に試行し、膨大な時間をかけてでも確実にパスワードを特定する手法である。
この選択肢はまさに「ブルートフォース（総当たり）攻撃」の定義そのものです。「A」「AA」「AAA」のように、文字数と文字の種類を総動員して機械的にしらみつぶしに試すため、パスワードが長く複雑であればあるほど破るのに膨大な時間がかかるという特徴を持っています。
システムの認証処理において、あらかじめ用意した大量の文字列リストの中から順番にパスワードを当てはめていく手法である。
すべてをしらみつぶしにするブルートフォース攻撃とは異なり、人間のよく使う単語や過去に流出したパスワードのリストを効率よく当てはめていく「辞書攻撃」の手法を説明しています。試験ではブルートフォース攻撃と辞書攻撃の定義をすり替えて出題されることが多いため、網羅的かリスト依存かの違いをしっかり区別しましょう。
ネットワーク上の通信を途中で傍受し、正当な利用者のパスワードやセッション情報を不正に取得してそのまま悪用する手法である。
これはネットワーク上を流れるデータを盗み見る「スニッフィング」や「パケットキャプチャ」と呼ばれる攻撃の説明です。パスワードを当てるために試行錯誤を繰り返すブルートフォース攻撃とはアプローチが根本的に異なるため、通信の盗聴と総当たり試行を混同しないように注意が必要です。