ブルートフォース攻撃・辞書攻撃とは？ぶるーとふぉーすこうげき・じしょこうげき
ブルートフォース攻撃・辞書攻撃とは、あり得る文字の組合せを片端から試してパスワードを割り出すのがブルートフォース攻撃、よく使われる単語やパスワードの一覧を順に試すのが辞書攻撃。設計では失敗回数でロックする方式が定番だが、ロックは正規利用者を締め出す手段にも転用されるため、閾値と解除方法は可用性とのトレードオフとして決める。
最終更新：2026-10-06
システムアーキテクトを最短で暗記・合格する →背景
認証をパスワードだけに頼る限り、試行を止めない限りいつかは当たる。計算資源が安くなるほど成立までの時間は短くなり、桁数と複雑さで守る方針は攻撃側の性能向上に追われ続ける。そのため防御の主戦場は「1件あたりの試行回数を制限する」側へ移り、ロック・応答の遅延・多要素認証・リスクベース認証のどれをどの層に置くかという設計判断になった。認証を外部のIDaaSへ寄せるか自前で持つかも、この制限をどこで実装するかの選択でもある。
具体例
NIST SP 800-63Bは、複雑さのルールや定期変更の強制よりも、既知の流出パスワードとの照合と試行回数の制限を推奨している。実装ではロックの代わりに失敗のたびに応答を遅らせる、同一の送信元からの試行に上限を置く、正規利用者の解除は本人確認済みの別経路に逃がす、といった組み方で締め出しの副作用を抑える。
試験での引っ掛け
アカウントロックアウトは、1つのパスワードを多数のIDへ試すパスワードスプレー（リバースブルートフォース）には効かない——1IDあたりの失敗回数が閾値に届かないため。また辞書攻撃はハッシュが流出した後のオフライン解析にも使われ、その場合はロックが無力で、ソルトとストレッチングだけが効く。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。