パスワードクラックの対策のうち，ストレッチングに該当するものはどれか。

選択肢

• アあらかじめ利用者だけが知っている質問と答えをシステムに登録しておき，普段と異なるログイン方法の場合に追加で質問を行う。
• イ一定時間内にパスワードを一定回数誤ったとき，それ以降のログインを試行できないようにする。
• ウパスワードの照合のためのハッシュ値を，パスワードに対してハッシュ化を繰り返して，求める。
• エパスワードの照合のためのハッシュ値を，パスワードに利用者IDごとに異なる文字列を付加してからハッシュ化して，求める。

正解と解説

正解：ウ パスワードの照合のためのハッシュ値を，パスワードに対してハッシュ化を繰り返して，求める。

ストレッチングは、パスワードのハッシュ化を数千〜数万回繰り返して、1件あたりの照合に必要な計算量を意図的に増やす手法である。正規の認証では1回分の遅延で済むが、総当たりで大量の候補を試す攻撃者には膨大な時間がかかるようになる。利用者ごとに異なる文字列を加えるソルトとは別の手法で、通常は併用する。

選択肢ごとの解説

• ア追加の質問による本人確認はリスクベース認証や合言葉認証にあたる。
• イ誤り回数でログインを止めるのはアカウントロック。
• ウ正解。ハッシュ化を繰り返して計算コストを上げるのがストレッチング。
• エ利用者ごとに異なる文字列を加えるのはソルトの説明。

この問題に出た用語

• パスワードの安全な保存（ソルト・ストレッチング）
• パスワードクラック（辞書攻撃・総当たり攻撃）
• アカウントロック
• リスクベース認証

同じ分野の他の問題

• 電子メールの送信時に、送信側メールサーバでデジタル署名を電子メールヘッダーに付与し、受信側メールサーバでそれを検証するこ…2025年度 秋期 午前 問45
• デジタルフォレンジックスの手順は収集、検査、分析及び報告から成る。このとき、デジタルフォレンジックスの手順に含まれるもの…2025年度 秋期 午前 問44
• 脆弱性検査で、ホストに対してポートスキャンを行う。スキャンしたポートの状態を判定する方法のうち、適切なものはどれか。2025年度 秋期 午前 問43
• CSPM（Cloud Security Posture Management）はどれか。2025年度 秋期 午前 問42
• Webアプリケーションソフトウェアの開発におけるOSコマンドインジェクション対策はどれか。2025年度 春期 午前 問42