パスワードを狙う三つの手口
- 各桁の候補数を掛け合わせ、桁数による候補数を求める
- 総当たり・辞書・リスト攻撃を材料の違いで見分ける
- 漏えいした秘密の変更と使い回し防止を、パッチや試行制限と区別する
点線のことばを押すと、意味と使い方を調べられます。
表示・保存
このページの目次 4節・復習と3問
- 1説明を読む
- 2復習する
- 3問題を解く
- 4次へ進む
1候補を一つずつ試す
総当たり攻撃（ブルートフォース攻撃、Brute-force Attack）は、可能な組合せを網羅的に試す攻撃です。辞書攻撃は、よく使われる単語や予測しやすい候補を使います。
教材上の例で、数字4桁なら各桁10通りなので10×10×10×10＝10,000通りです。数字6桁なら1,000,000通りで、候補数は100倍になります。ただし実際の強さは長さだけでなく、使い回し、試行制限、漏えいにも左右されます。
10の4乗＝10,000
10の6乗＝1,000,000
1,000,000÷10,000＝100
数字4桁：10の4乗＝10,000／数字6桁：10の6乗＝1,000,000／候補数の比：1,000,000÷10,000＝100
2流出済みの組を使う
パスワードリスト攻撃（クレデンシャルスタッフィング、Credential Stuffing）は、流出した利用者ID（利用者などを見分ける識別子）とパスワードの組を他のサービスで試す攻撃です。全候補を作る総当たりとは、材料が違います。
サービスごとに異なるパスワードを使い、漏えい時には該当する認証情報を変更します。長く複雑でも、同じものを使い回せば一か所の流出が別のサービスへ波及します。
ハルとビットで、使い方を確かめよう
長くしたら使い回してもいい？
長さは推測対策だよ。漏れた組をそのまま使う攻撃には、使い回し防止も必要なんだ。
この説明に出てきた略語の正式名称
- ID
- Identifier
利用者などを見分ける識別子
3一つの対策に頼らない
試行回数の制限やアカウントロックは連続した推測を難しくします。長く推測されにくい秘密、使い回し防止、多要素認証も組み合わせます。ロックの運用は業務を妨げない回復手順も必要です。
セキュリティパッチはソフトウェアの欠陥を修正しますが、流出した正しいパスワード自体を無効にはしません。フィッシングは偽の案内で認証情報を渡させる攻撃なので、入力先の確認も大切です。
ハルとビットで、使い方を確かめよう
更新すればパスワードも守れる？
更新と秘密の管理は役割が違うよ。漏れた秘密は変更しよう。
4流出情報の再利用を止める
リスト攻撃では、既に分かっているIDとパスワードの組を使います。新しく候補を全て作る総当たりとは異なるため、長いパスワードへの変更だけでなく使い回し防止が重要です。
大量要求によるサービス妨害、データベース命令の注入、偽サイトへの誘導は、それぞれDoS、SQL（関係データベースの定義や操作などを記述する言語）インジェクション、フィッシングの説明です。
この説明に出てきた略語の正式名称
- SQL
- Structured Query Language
関係データベースの定義や操作などを記述する言語
復習
このレッスンを振り返ろう
0を先頭にも使える数字5桁は何通りですか。
答え方と、確認するポイント
各桁10通りを5回掛け、100,000通りです。桁数と10を単純に掛ける計算ではありません。
単語を試す攻撃と、他所から流出した組を試す攻撃は何ですか。
答え方と、確認するポイント
前者は辞書攻撃、後者はパスワードリスト攻撃です。総当たりは可能な組合せを網羅的に試します。
長い秘密が流出したとき、修正プログラムだけで別サービスも守れますか。
問題で確かめる
学んだことを問題で確かめよう
入門の確認問題3問で、この範囲の考え方を使います。答えを選んだら、正解の理由とほかの選択肢の違いも確かめましょう。
ヒントを見る
各桁の10通りを、5桁分掛け合わせます。先頭の0も使える条件です。
オリジナル入門問題 · シラバス 6.5
3問中0問の答えと解説を確認しました。選んだ答えの理由も確かめてから、次へ進みましょう。
出典・参考資料を確認する
学習範囲：IPA シラバス Ver.6.5 ↗ 項目61。身近な例・会話・図解・確認問題は当サイトのオリジナルです。
学習範囲と参考資料
シラバスは学習範囲の根拠です。説明は参考資料を基に当サイトが作成しています。身近な事例・会話・図の数値は学習用の架空例です。2026年9月10日確認。