流れ7の9語目 / 10

総当たり攻撃(ブルートフォース)

セキュリティ

アクセス急増はセールの告知によるものと分かった翌日。社内ツールのログイン画面のログを見ていた

「ログイン失敗のログが大量に出てる。総当たりされてるね」

「総当たり攻撃(ブルートフォース)」って、何のことだろう…?

総当たり攻撃(ブルートフォース攻撃)は、パスワードを当たるまで次々に試して、ログインしようとする攻撃です。

「力ずく(brute force)」で開けようとするので、この名前がついています。

このページで分かること読む約3分・問題 3問

身近な例えで理解する

番号を知らない人でも、000から順に回していけば、いつかは開きます。けたが多い錠ほど、全部試すのに時間がかかります。

Q14択

総当たり攻撃(ブルートフォース)の説明として正しいものは?

ここからは実際のしくみ

仲間の攻撃

よくあるパスワードを、たくさんのアカウントに少しずつ試すもの(パスワードスプレー)や、ほかのサイトから漏れたIDとパスワードの組をそのまま試すもの(パスワードリスト攻撃)もあります。パスワードを使い回していると、ほかのサイトで漏れた分で入られてしまいます

サービス側の守り方

失敗が続いたら待たせる・一時的にロックする、多要素認証(→24)を使う、ログイン失敗のログを見張る、などです。多要素認証なら、パスワードが当たっても、それだけではログインできません。保存するパスワードはハッシュ(→61)にして、漏れても試す手がかりになりにくくします

サーバーのSSH

インターネットに出ているサーバーには、SSHのログインを試す通信がよく届きます。パスワードではなく鍵でログインする(→07 SSH)、送り元を会社のIPアドレスなどに絞る(→06 ファイアウォール)と、総当たりはほとんど効かなくなります

利用する側の守り方

長いパスワードにする、サービスごとに変える(使い回さない)、多要素認証をオンにする、の3つです。覚えきれないときは、パスワード管理のしくみを会社のルールに従って使います

先輩「ログイン失敗のログが大量に出てる。総当たりされてるね」

「誰かがパスワードを当てようとして、次々にログインを試している。失敗の記録がたくさん残っているのはそのため。回数制限や多要素認証が効いているか、そして失敗のあとに成功しているログインがないかを確かめよう」という意味です。

Q24択

「ほかのサイトでパスワードが漏れたらしい。でも、このサイトは関係ないから大丈夫」この考えが危ないのはなぜ?

Q3対応づけ

左の守り方と、それが効く理由を組み合わせましょう。

左から1つ選び、次に右から合うものを選んでください。

左

右

ご意見・ご感想・質問・間違いのご指摘など、何でもお気軽にお寄せください。「この言葉も例えで説明してほしい」「こんな例えなら分かりやすい」という声をもとに、新しいページや例えを作ります。

意見箱は準備中です。