【セキュリティ】「パスワードクラッキング」の流れ

知識ベース認証では、「アカウント」と「パスワード」どちらもわかった上で認証を突破します。

アカウント

メールアドレスを特定して入手します。「アカウント名@ドメイン」となっているケースが多いので、@の前をアカウント名としてログインを試みます。

パスワード

ソーシャルエンジニアリングを使った攻撃

パスワード所有者から探し出す。

• 本人に直接聞く
• 本人がパスワードを入力しているところを盗み見る。
• パスワードをメモした紙を盗み出す。

オンライン攻撃

能動的

端末の認証画面にアクセスして試す。以下の理由からあまり使われない。

• 成功しても失敗してもログに残るので見つかりやすい攻撃になる。
• IPアドレスで身バレする。
• 試行回数を超えるとログインできなくなるロックアウト機能がある場合がある。
• ネットワーク回線的な速度問題がある。

受動的

ネットワークの盗聴やマルウェアを使う。

オフライン攻撃

パスワードが記録されているファイルを盗み出して、レインボーテーブル攻撃を行う。