令和3年度 秋期 情報処理安全確保支援士試験 午前II 問2

【解説】

ア: パスワードのハッシュ値から導出された平文パスワードを使ってログインする。
誤り。これは辞書攻撃や総当たり攻撃に関連する内容であり、Pass the Hash攻撃ではありません。

イ: パスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。
正しい。Pass the Hash攻撃は、平文パスワードを復元せずに、パスワードハッシュ（認証情報）そのものを直接使用して認証をバイパスする攻撃手法です。攻撃者は盗み出したハッシュ値を利用して、システムにログインします。

ウ: パスワードを固定し、利用者IDの文字列のハッシュ化を繰り返しながら様々な利用者IDを試してログインする。
誤り。これはブルートフォース攻撃に関連する内容であり、Pass the Hash攻撃ではありません。

エ: ハッシュ化されずに保存されている平文パスワードを使ってログインする。
誤り。これはセキュリティ対策が不十分な場合に起こる平文パスワードの直接利用であり、Pass the Hash攻撃とは無関係です。