ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

問44 ストレッチング

応用情報​技術者試験 令和7年度 春期 午前、全80問のうちの問44。

出典：令和7年度 春期 応用情報技術者試験 午前 問44

パスワードクラックの対策のうち，ストレッチングに該当するものはどれか。

  1. アあらかじめ利用者だけが知っている質問と答えをシステムに登録しておき，普段と異なるログイン方法の場合に追加で質問を行う。
  2. イ一定時間内にパスワードを一定回数誤ったとき，それ以降のログインを試行できないようにする。
  3. ウパスワードの照合のためのハッシュ値を，パスワードに対してハッシュ化を繰り返して，求める。
  4. エパスワードの照合のためのハッシュ値を，パスワードに利用者 ID ごとに異なる文字列を付加してからハッシュ化して，求める。
答えと解説を開く

正解はウです。

パスワードは、そのまま保存せず、ハッシュ値にして保存します。ハッシュ値が漏れると、攻撃者は候補のパスワードを次々にハッシュ化して、一致する物を探します。ストレッチングは、ハッシュ化を何千回、何万回と繰り返してハッシュ値を求める方法です。正しい利用者のログインでは 1 回だけなので待ち時間は気になりませんが、大量の候補を試す攻撃者にとっては、1 つ試すごとに繰り返しの回数分の計算が必要になります。正解はウです。

ほかの選択肢が違う理由

  • ア普段と違うログインのときに追加で秘密の質問をするのは、リスクに応じて認証を強めるリスクベース認証の説明です。
  • イ一定回数誤ったらログインできなくするのは、アカウントロックの説明です。
  • エ利用者ごとに違う文字列を付けてからハッシュ化するのは、ソルトの説明です。同じパスワードでもハッシュ値が変わるので、事前に作った対応表を使う攻撃が効かなくなります。

仕組み

ハッシュ関数は、同じ入力からは必ず同じ値が出て、値から元の入力を戻すのは難しい関数です。パスワードの照合は、入力をハッシュ化して保存した値と比べるだけで済みます。

ソルトとストレッチングは組み合わせて使います。パスワードの保存のために作られた関数 (bcrypt など) は、この 2 つを最初から含んでいます。

この問に出る言葉