令和5年度 春期 情報処理安全確保支援士試験 午前 II 問題 問2
テクノロジセキュリティ技術
この問題は2023(R5)春 情報処理安全確保支援士 午前IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。
本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。
Pass the Hash攻撃はどれか。
解答・解説を読む
正解: 選択肢イ
Pass the Hash攻撃 とは、攻撃者がパスワードの平文を知らなくても、メモリ上などから窃取した パスワードのハッシュ値 をそのまま用いてシステムの認証を通過するサイバー攻撃の一種です。主にWindowsのNTLM認証などの脆弱性を狙った攻撃として知られています。
各選択肢の解説
- ア: パスワードのハッシュ値から平文パスワードを導出（クラック）してログインする手法は、レインボーテーブル攻撃 や辞書攻撃などに該当します。Pass the Hash攻撃は平文パスワードを復元せずにハッシュ値を直接利用します。
- イ: 正解です。 認証プロトコルにおいて、平文パスワードの代わりにハッシュ値を送信することでログインできる仕組みを悪用する手法が Pass the Hash 攻撃です。
- ウ: パスワードを固定して多数の利用者IDを試す手法は リバースブルートフォース攻撃 や パスワードスプレー攻撃 に該当します。
- エ: 保存されている平文パスワードをそのまま用いるのは、単なるパスワード窃取による不正ログインであり、ハッシュ値を利用する Pass the Hash 攻撃ではありません。