令和7年度 秋期 情報処理安全確保支援士試験 午前II 問2

• ア: パスワードのハッシュ値から導出された平文パスワードを使ってログインする。
  誤り。これはハッシュから平文を推測するタイプの攻撃であり、Pass the Hash ではありません。

• イ: パスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。
  正しい。Pass the Hash 攻撃は、攻撃者が取得したパスワードのハッシュ値をそのまま認証に用いてログインする攻撃です。平文パスワードを求める必要がありません。

• ウ: パスワードを固定し，利用者 ID の文字列のハッシュ化を繰り返しながら様々な利用者 ID を試してログインする。
  誤り。これは利用者 ID を総当たりする攻撃であり、Pass the Hash ではありません。

• エ: ハッシュ化されずに保存されている平文パスワードを使ってログインする。
  誤り。これは単純な平文パスワード窃取によるログインであり、Pass the Hash ではありません。

答え

イ: パスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。