力ずく攻撃（ブルートフォースアタック）の脅威と対策

力ずく攻撃（ブルートフォースアタック）の脅威と対策

力ずく攻撃とは何か

力ずく攻撃とは、暗号化された情報、特に合言葉を解読するために用いられる手法です。攻撃者は、可能なすべての文字や数字の組み合わせを試し、合言葉が破られるまで徹底的に試行を繰り返します。この方法は原始的ですが、近年の計算能力の向上により、複雑な合言葉でも時間をかければ解読される危険性があります。ウェブサイトや電子 почта、データベースなど、合言葉で保護されたあらゆる場所が標的となり得ます。攻撃者は、標的のログイン画面で様々な合言葉候補を試し、認証を試みます。合言葉が単純であれば攻撃は成功しやすくなりますが、複雑な合言葉は解読に時間がかかり、攻撃を困難にします。したがって、複雑で推測されにくい合言葉を設定することが重要です。

力ずく攻撃の仕組み

総当たり攻撃は、電子計算機の処理能力を最大限に利用し、考えられる全ての合言葉の候補を試すことで成立します。攻撃者はまず、目標とする場所、例えばウェブサイトの認証画面を特定し、攻撃対象者の利用者識別符号を入手します。次に、合言葉を推測するための仕組みを用意します。この仕組みは、用意された合言葉の一覧や、定められた規則に従って自動で合言葉を作る機能を持っています。例えば、数字のみ、文字のみ、あるいはそれらを組み合わせたものなど、様々な種類を作れます。仕組みは、作られた合言葉を次々に目標の認証画面に入力し、認証を試みます。認証に成功すれば、攻撃者はその場所に侵入できます。失敗した場合は、次の候補を試します。この流れは、正しい合言葉が見つかるか、攻撃を諦めるまで繰り返されます。最近では、雲計算の利用により、攻撃者は以前よりもずっと強力な処理能力を得ています。このため、複雑な合言葉でも、以前より早く解読される危険性が高まっています。また、攻撃者は複数の電子計算機を連携させて攻撃することで、さらに解読時間を短縮できます。このような分散型の総当たり攻撃は、特に大規模な場所を目標とする場合に有効です。

力ずく攻撃の種類

総当たり攻撃は、考えられる全ての組み合わせを試す、最も基本的な手法です。しかし、複雑な暗証符号に対しては、非現実的な時間が必要となります。辞書攻撃は、一般的な単語や名前などを集めたリストを基に試行します。これに対し、リバース力ずく攻撃は、複数の利用者に対して一つの暗証符号を試す方法です。例えば、漏洩した暗証符号を他の場所で使い回している利用者を狙います。さらに、認証情報詰め込みという手法もあります。これは、過去に漏洩した利用者IDと暗証符号の組み合わせを別の場所で試すものです。多くの利用者が複数の場所で同じ暗証符号を使い回している現状を悪用します。攻撃者は、これらの手法を単独で、または組み合わせて使用し、標的の保安対策に応じて最適な方法を選択します。

力ずく攻撃の危険性

総当たり攻撃は、様々な情報の漏洩を招く危険な手法です。個人の情報から会社の重要情報まで、不正に入手される可能性があります。攻撃者が合い言葉を破り、アカウントへ侵入した場合、保存された情報を自由に見たり、変えたり、消したりできます。個人の場合、電子郵便や交流サイトのアカウントが乗っ取られ、個人情報が漏れたり、他人になりすましたり、詐欺に遭う危険があります。また、ネット銀行の口座に不正に侵入され、預金が引き出されることも考えられます。会社の場合、顧客情報や財務情報、知的財産などの重要情報が漏洩し、会社の信用を失ったり、損害賠償を請求されたり、事業が止まったりする深刻な事態になる可能性があります。さらに、社内のシステムに侵入され、悪意のあるプログラムに感染させられたり、身代金要求型不正プログラムによってデータが暗号化されたりする危険性もあります。総当たり攻撃は、直接的な被害だけでなく、間接的な被害も引き起こす可能性があります。例えば、会社のウェブサイトが改ざんされ、不正な内容が表示された場合、顧客の信頼を失い、会社の印象を悪くする可能性があります。また、情報漏洩が発生した場合、対応に多くの時間と費用がかかるだけでなく、会社の評判を回復するまでに長い時間がかかることもあります。総当たり攻撃は、手法が単純でも大きな損害をもたらす可能性があるため、適切な対策が不可欠です。

力ずく攻撃への対策

総当たり攻撃から身を守るには、多層防御の考え方が不可欠です。まず、複雑で予測困難な合言葉を設定することが基本です。合言葉は最低でも12文字とし、大文字、小文字、数字、記号を組み合わせましょう。辞書にある単語や個人情報は避けるべきです。次に、二段階認証の設定も有効です。これは、合言葉に加え、別の認証要素（携帯電話に送られる一時的な暗証番号など）を入力することで、不正な侵入を防ぐ仕組みです。合言葉が漏洩しても、二段階認証があれば、攻撃者は侵入できません。さらに、合言葉の入力試行回数を制限することも効果的です。一定回数以上間違えた場合、一時的にアカウントを凍結することで、総当たり攻撃を阻止できます。また、画像認証を導入することも、自動化された攻撃を防ぐ上で役立ちます。加えて、防護軟体を導入することも重要です。これは、不正な侵入を察知し遮断したり、悪意のある programを検出し除去する機能があります。これらの対策を組み合わせることで、総当たり攻撃の危険性を大幅に減らせます。

安全なパスワード管理

現代社会において、安全な暗証符号の管理は、不正な侵入から自身を守る上で欠かせません。多くの人が複数のウェブサイトや情報提供サービスを利用していますが、全てで同じ暗証符号を使い回すのは極めて危険です。もし一つのサービスから暗証符号が漏洩した場合、芋づる式に他のアカウントも危険に晒されるからです。そこで、各サービスで異なる暗証符号を設定することが重要になります。しかし、多数の暗証符号を記憶するのは容易ではありません。そこで役立つのが、暗証符号管理の道具です。これは、高度な暗号化技術を用いて暗証符号を安全に保管し、管理するものです。自動で強力な暗証符号を生成したり、ウェブサイトへの入力を補助する機能もあります。これを利用することで、安全かつ容易に暗証符号を管理できます。選択の際は、信用できる提供元のものを選び、二段階認証に対応しているかを確認しましょう。さらに、定期的な暗証符号の変更も効果的です。特に、電子郵便や金融機関など、重要なアカウントの暗証符号は定期的に変更しましょう。変更時には、過去に使用したものを再利用しないことが大切です。