ブルートフォース攻撃とは？

ブルートフォース攻撃の意味

ある1つのIDに対して、考えられるパスワードの組み合わせを片っ端からすべて試してログインを試みる攻撃手法。

ブルートフォース攻撃の具体例

「password1」「password2」のように、機械的に文字の組み合わせを総当たりで試行し続けてログインを突破しようとする。

ブルートフォース攻撃は試験でどう引っ掛けられる？

1つのIDに対して大量の試行を繰り返すため、一定回数の失敗でアカウントを一時ロックする仕組みが有効な対策となる。標的を固定する点がリバースブルートフォース攻撃と対照的。

ブルートフォース攻撃と関連する用語

• 辞書攻撃
• アカウントロック

ブルートフォース攻撃が出た過去問

• サーバへのログイン時に用いるパスワードを不正に取得しようとする攻撃とその対策の組合せのうち、適切なものはどれか。

  正解：辞書攻撃：推測されにくいパスワードを設定する。／スニッフィング：パスワードを暗号化して送信する。／ブルートフォース攻撃：ログインの試行回数に制限を設ける。

  要点：盗聴には暗号化、総当たりには試行回数制限で対応する

  攻撃の性質に対応した対策を選ぶ問題である。辞書攻撃は辞書に載る語をパスワードに使わせないことが根本対策、スニッフィングは通信路の盗聴なので暗号化が対策、ブルートフォース攻撃は総当たりを試行させないようログイン試行回数を制限するのが有効となる。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問16（IPA）

• 暗号解読の手法のうち，ブルートフォース攻撃はどれか。

  正解：与えられた1組の平文と暗号文に対し，総当たりで鍵を割り出す。

  要点：ブルートフォースは鍵を全通り試す総当たり解読

  ブルートフォース攻撃（総当たり攻撃）は、考えられる鍵をすべて順に試して正しい鍵を見つける手法である。既知の平文と対応する暗号文が1組あれば、候補の鍵で復号して平文と一致するかを確かめられる。鍵空間を十分大きくする（鍵長を長くする）ことが根本的な対策となる。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問27（IPA）

• リバースブルートフォース攻撃に該当するものはどれか。

  正解：パスワードを一つ選び、利用者IDとして次々に文字列を用意して総当たりにログインを試行する。

  要点：リバースブルートフォースはパスワード固定でIDを総当たりする

  リバースブルートフォース攻撃は、パスワードを固定したうえで利用者IDのほうを次々に変えてログインを試す攻撃である。通常のブルートフォース攻撃と逆の発想で、1つのIDに対する連続失敗が起きないため、アカウントロックによる検知をすり抜けやすいのが厄介な点である。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問19（IPA）