総当たり攻撃

デジタル大辞泉

そうあたり‐こうげき【総当（た）り攻撃】

読み方：そうあたりこうげき

不正アクセスの手法の一。パスワードや暗号化に使われる鍵（文字列）の、考えられるすべての組み合わせを試行すること。ブルートフォース攻撃。パスワードブルートフォース。→暗号鍵 →逆総当たり攻撃

[補説] この攻撃に対する安全性を高める方法としては、鍵の文字列の長さを増やし、試行する組み合わせの数を増加させることなどが挙げられる。

IT用語辞典バイナリ

ブルートフォース攻撃

読み方：ブルートフォースこうげき
別名：ブルートフォースアタック，総当たり攻撃
【英】brute force attack

ブルートフォース攻撃とは、暗号やパスワードを解読、解析するための手法のひとつである。考えられる全ての暗号鍵を自動化されたプログラムによってひたすら入力し、復号化プログラムによって、暗号が意味のある文字列になるかどうかを試行錯誤しながら調べて行く方法。どのような形態の暗号に対しても攻撃できるが、鍵の長さが増えると考えられる鍵のパターンの数は幾何級数的に増大するため、効率の悪い攻撃方法であるといえるが、実際の攻撃はコンピュータが行うため、時間さえかければ有効な方法であると言える。

セキュリティのほかの用語一覧

ネットワーク攻撃：

不正アクセス  踏み台  ブラウザクラッシャー  ブルートフォース攻撃  ブラックハット  ブルーターマイト  IM攻撃

>>ネットワーク攻撃カテゴリの他の用語

ウィキペディア

総当たり攻撃

出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2024/05/01 06:04 UTC 版)

総当たり攻撃（そうあたりこうげき）とは、暗号解読方法のひとつで、可能な組合せを全て試すやり方。力任せ攻撃、または片仮名でブルートフォースアタック（英: Brute-force attack）とも呼ばれる。

ウィキペディア小見出し辞書

総当たり攻撃

出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2021/01/22 00:56 UTC 版)

「パスワードクラック」の記事における「総当たり攻撃」の解説

詳細は「総当たり攻撃」を参照 最後の手段のひとつとしてあるのが、考えうる「全ての」パスワードを試す、いわゆる総当たり攻撃である。理論的には、試行回数に上限が無いとするならば、総当たり攻撃は必ず成功する。なぜなら有効なパスワードを決めるためのルールは公にされている必要があるからだ。しかしパスワードが長くなるにつれて、考えうるパスワードの数も増加する。パスワードが比較的短いのでなければ、総当たり攻撃は非現実的と思われるが、並行処理という手法を使えばパスワードを割り出す時間を短縮することは可能で、それは使用するコンピュータ (CPU) の数に反比例する。この攻撃方法は、攻撃者がパスワードのハッシュ値とハッシュアルゴリズムを知っているかどうかで大きく様相が異なり、知っている場合は「オフライン攻撃」（保護された対象へ接続している必要はない）、知らない場合は「オンライン攻撃」と呼ばれる。オフライン攻撃の方が通常はるかに容易である。なぜならパスワードの検証は、候補となるパスワードのハッシュを数学的に計算し、実際のパスワードのハッシュと比較するだけで済むからだ。オンライン攻撃の場合、攻撃者は全てのパスワードについて認証を試みなければならず、システムによって規則[訳語疑問点]と遅延が課せられ、またそれらの試みは記録される。 パスワードは、アルファベット・数字・（句読点などの）記号をランダムに組み合わせ、8 文字以上の長さにすることが一般に推奨される。ただしこれは、md5-crypt や Blowfish ベースの bcrypt といった、強力なパスワードハッシュ法を使うシステムで意味を持つのであり、多くの Microsoft Windows システムでは不充分である。なぜなら、それらの Windows はレガシーな LAN Manager ハッシュ法を使っており、それはパスワードを 2 個の 7 バイト列に分けてしまうからだ。それらのシステムでは、8 文字のパスワードならば 7 文字のパスワードと 1 文字のパスワードに変換される。セキュリティを高めるためには、そのシステムに依存するレガシーシステムに影響がない限り、LAN Manager 形式でのパスワード保存を無効化すべきである。システムによっては、パスワードに数字しか使えなかったり、大文字しか使えなかったり、あるいは一般的に言って、パスワード用の文字に制限を設けている場合がある。そうしたシステムも、比較的容易に総当たり攻撃をかけることができる。そうした場合（可能ならば）より長いパスワードを使うことで、文字パターンの制約を埋め合わせることができる。もちろん、多くの文字を選べるシステムであっても、ユーザ自身が特定の種類の文字に限って選択を行なった場合（例えば大文字だけ選んだり、数字だけ選んだ場合）は、そのアカウントへの総当たり攻撃は非常に容易になってしまう。 単純な総当たり攻撃であっても成功することはしばしばだが、人間がどのようにパスワードを選ぶ傾向を持つかという知見を悪用した「スマートな」総当たり攻撃は、さらに大きな脅威となる。アメリカ国立標準技術研究所 SP 800-63 (2) の報告ではパスワードの品質や推奨事項などが議論されているが、例えばユーザが自分で 8 文字のパスワードを考えた場合、それがどのように選ばれるかにより、エントロピー（ランダムさの程度）は 18 - 30 ビットの範囲に収まる。24 ビットのランダムさというと、無作為に選んだ 3 バイト、あるいは無作為に選んだ 5 文字の大文字アルファベット、あるいは 4000 語の中から無作為に選んだ 2 単語に相当する。このエントロピーは、暗号化キーとして安全だと通常考えられるレベルより遥かに低い。 オフライン攻撃を考えると、この脆弱さは「あまりに脆弱すぎる」という話であり、また部分的には攻撃者の技量とリソース（例えば時間とマシンパワー）に負うものである。後者はコンピュータの性能が上がるにつれ大きくなるだろう。広く使われているハッシュ法は、さらに解析を早めるため、それに特化したハードウェアとして実装することも可能である。多数のコンピュータを並列に連結し、広大な探索空間の一部を各々が受け持つことも可能である。夜間や週末で使われていない事務所のコンピュータも、この目的に使うことができる。