セキュリティ用語：辞書攻撃とは？

セキュリティ用語
2016.5.11
更新日：2018.3.9

「セキュリティに対する重要性は理解したけれど、用語が難しくて」という声を聞くことがよくあります。そんな方に、セキュリティの頻出用語を解説します。第24回は、「辞書攻撃」についてです。

辞書攻撃とは、辞書や人名リストなどに掲載されている単語や、それらを組み合わせて、パスワードなどを推測する方法の一つです。

辞書攻撃では、膨大な単語のリストを使用し、受け入れられるパスワードが見つかるまで、それらをすべて試します。最初に、名前や名詞のような分かりやすい、または不十分な選択肢から開始します。次に、単語のリスト、単語の組み合わせ、単語の合成へと進みます。

コンピュータの性能も大幅に向上していますから、これらのデータを利用して、パスワードを推測することは困難なことではありません。

しかし、実際にユーザーサイドでは、分かりやすい単語の組み合わせ以前に、非常に簡単なパスワードを利用していることもよくあります。

2016年1月19日に、パスワード管理サービスを提供するSplashDataは、恒例となるインターネットでよく使用されている「最悪なパスワード」（“Worst Passwords List”）ランキングを発表しました。

1 – 123456 (unchanged from 2014)

2 – password (unchanged)

3 – 12345678 (Up 1)

4 – qwerty (Up 1)

5 – 12345 (Down 2)

6 – 123456789 (Unchanged)

7 – football (Up 3)

8 – 1234 (Down 1)

9 – 1234567 (Up 2)

10 – baseball (Down 2)

11 – welcome (New)

12 – 1234567890 (New)

13 – abc123 (Up 1)

14 – 111111 (Up 1)

15 – 1qaz2wsx (New)

16 – dragon (Down 7)

17 – master (Up 2)

18 – monkey (Down 6)

19 – letmein (Down 6)

20 – login (New)

21 – princess (New)

22 – qwertyuiop (New)

23 – solo (New)

24 – passw0rd (New)

25 – starwars (New)

（出典：SplashData’s fifth annual “Worst Passwords List” shows people continue putting themselves at risk）

これらの例を見ても分かるように、辞書データさえ揃っていれば、簡単に侵入される恐れがあることがわかります。

パスワードの推測が難しいほど、保護は強化された状態になります。たとえば、パスワードを英数字の大文字または小文字の1文字または1桁であるとすると、62通りとなります。コンピュータを利用すれば、一瞬のうちに推測できます。しかし、英数字8桁でパスワードを作成すると、約218兆という膨大な組み合わせになります。しかし、人々は、一般に、推測しやすい組み合わせを選択して、攻撃者を有利にしてしまいます。

では、攻撃されにくいパスワードを作るにはどのようにしたらいいのでしょうか？

セキュリティの専門家は、次のようなガイドラインを推奨しています。

可能な限り多くの文字を使用する (最小でも8文字。できれば10文字以上)
大文字と小文字を組み合わせる
数字と句読点を入れる
名前や誕生日のような個人情報は使わない
辞書にある単語は使わない

このガイドラインに従って、実際のパスワードを作るテクニックを紹介します。

いくつかの単語に句読点を混ぜる “betty,boop$car”
単語の中に句読点を入れる “Roos%velt”
あまり一般的ではない縮約形を使用する “ppcrnbll”
あるフレーズの語頭の文字と数字を組み合わせる。“koreha totemo kyouryokuna password desu” = “ktk5pd”

このようなパスワードを記憶するのは、必ずしも難しい訳ではありません。強度の高い記憶できるパスワードを作るのは簡単です。

パスフレーズを使用するだけです。

たとえば、『スターウォーズ』の有名な言葉「May The Force Be With You」というフレーズを使うとします。正確にこのフレーズを使用するだけで、1)長さが8文字以上、2)大文字、3)小文字という条件をクリアします。さらに、文字のいくつかを置き換えると、他の要件を満たせます。Mayについては“@”で“a”を置き換え、Withについては“!”で“i”を置き換え、Forceについて“For”を数字の“4”で置き換えます。そうすれば、“M@yThe4ceBeW!thYou になります。

これは強力なパスワードの例です。

しかし、パスワードは、いくら強力であっても時間をかければいずれ解読されます。そのため、パスワードは決して共有せず、誰にでも目につく場所には書きとめないでください。