パスワードを守ろう！ ～いろいろな攻撃方法～【Ｐマーク取得の基礎知識】

個人情報を守ることとパスワードを正しく管理することは切っても切れない関係にあります。プライバシーマーク（Pマーク）の規格では個人情報の技術的安全管理措置の中にID・パスワードを管理してアクセス制御を盤石なものとすることが含まれています。

ほとんどのプライバシーマーク（Pマーク）取得会社が個人情報を電子データの形式で取り扱っていますので、パスワードを設定しでデータを漏えいから保護することが必要な対策となります。

しかしパスワードを設定していても、そのパスワードの内容がすぐに見破られるような単純なものであれば意味がありません。プライバシーマーク（Pマーク）取得会社においてはパスワードに設定する文字のルールを定める必要がありますが、そのルールは安全なパスワードを作るうえで十分なものでなければなりません。

どのようなパスワードが安全かを知るために、今回はそもそもパスワードクラックにどのような手法があるのかを簡単に見ていきたいと思います。なお「パスワードクラック」とは他人のパスワードを見破ってアカウントを乗っ取る行為のことです。

類推攻撃

「類推攻撃」とはよく使われる文字列を当ててパスワードを破る方法のことです。攻撃者は一般的に使われやすい文字列だけでなく、攻撃の対象となるアカウントのユーザーが使いそうな文字列も類推します。

たとえば「password」や「admin」などの文字列や、本人や会社の電話番号、誕生日、自動車のナンバーなどが類推されやすいパスワードです。

プライバシーマーク（Pマーク）取得会社は従業員がこのようなパスワードを設定することがないよう社内ルールの徹底を図るべきでしょう。

辞書攻撃

「辞書攻撃」とは一般的に辞書に載っているような文字を順に試してパスワードを破る方法のことです。これはユーザーが往々にして記憶しやすい文字列として一般的な単語をパスワードに使う傾向にあることを利用したクラッキング手法です。

総当たり攻撃

「総当たり攻撃」とは推測とは関係なくすべての文字列を順に試してパスワードを破る方法のことです。「ブルートフォースアタック」と呼ばれることもあります。

考えうるすべての文字の組み合わせを順に試していく手法であるため論理的には時間がある限り100パーセントの確率でパスワードクラックを成功させることができます。

この手法に対する最大の対策はパスワードの文字数を増やすこと、パスワードに使う文字種（数字、英字、記号）を増やすこと、そしてパスワードを頻繁に更新することです。プライバシーマーク（Pマーク）を取得している会社においてパスワードの設定ルールに最低限の文字数や文字種などが定められているかどうかは非常に重要なポイントとなります。

攻撃方法は他にも

他の攻撃方法として、総当たり攻撃を応用したリバースブルートフォース攻撃（パスワードを固定してIDの総当たりを行う方法）やパスワードリスト攻撃（ユーザーが他のWebサービスで使っているIDとパスワードの組み合わせの情報を入手し、それでクラックを試みる方法）などがあります。

・こちらの記事もおすすめです

→【Pマークって日本だけ？】