パスワードクラック（辞書攻撃・総当たり攻撃）とは？ぱすわーどくらっく
パスワードクラック（辞書攻撃・総当たり攻撃）とは、利用者のパスワードを不正に割り出す攻撃の総称。よく使われる語句を並べた辞書で試す辞書攻撃、文字の全組合せを機械的に試す総当たり（ブルートフォース）攻撃のほか、パスワードを固定してIDのほうを変えるリバースブルートフォース攻撃、事前計算したハッシュ表を引くレインボーテーブル攻撃、他所から流出した組をそのまま試すパスワードリスト攻撃がある。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
パスワードは人が記憶できる長さに制約されるため、計算機の速度が上がるほど総当たりの現実味が増し続ける。さらに利用者が複数サイトで同じものを使い回す実態があるので、自サイトが破られなくても他所の流出で侵入される。この二つの弱点に対し、試行回数を抑える運用と、ハッシュの保存方法を強くする実装の両面が対策として求められる。
具体例
保存側では、利用者ごとに異なるソルトを連結してからハッシュ化し、さらにストレッチングで反復回数を数万回まで上げて1件あたりの検証費用を高くするのが標準。NISTのSP 800-63Bは、定期変更の強制や複雑さの要求よりも、長さの確保と流出済みパスワードとの照合を重視する方針を示している。認証方式自体をFIDO2やPasskeysへ移し、パスワードを送らない設計にする選択もある。
試験での引っ掛け
アカウントロックは総当たりには効くが、IDを変えて1つのパスワードを試すリバースブルートフォースやパスワードリスト攻撃には効かない。ソルトはレインボーテーブルを無効化する仕掛けであって総当たり自体を止めるものではなく、そちらを遅くするのはストレッチング。ロック機構そのものがサービス妨害に悪用されうる点も併せて問われる。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (7) 攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。