辞書攻撃

辞書に載っている単語や、よく使われるパスワードのリストを順に試してパスワードを解読する攻撃手法。推測しやすいパスワードに対して有効な手法。

辞書に載っている単語やよく使われるパスワードのリストを使って、パスワードを解読する攻撃手法。一般的な単語やフレーズを組み合わせて試行するため、単純なパスワードは容易に破られる。

辞書に載っている単語やよく使われるパスワードを次々に試して不正にログインしようとする攻撃。意味のある語をパスワードにしないこと、試行回数を制限することが対策となる。

辞書に載っている単語や人名、よく使われる文字列を並べたリストを順に試してパスワードを破る攻撃。総当たりより効率がよく、単語をそのまま使ったパスワードは短時間で破られる。推測されにくい文字列とアカウントロックが対策となる。

考えられるすべての文字の組合せを機械的に試してパスワードや鍵を解読する総当たり攻撃。パスワードの文字種と桁数を増やすほど試行回数が指数的に増え、現実的な時間で破れなくなる。アカウントロックも有効な対策。

パスワードを固定し、利用者IDのほうを次々と変えて試行する攻撃。1つのアカウントへの連続失敗にならないため、アカウントロック機能では検知しにくい。同一IPからの試行回数の監視などが対策となる。

パスワードのハッシュ値と平文の対応を効率的に圧縮した表（レインボーテーブル）を用いて、窃取したハッシュ値から元のパスワードを高速に逆引きする攻撃。ソルトを付与してハッシュ化すれば事前計算した表が使えなくなる。

他のサービスから漏えいしたIDとパスワードの組をそのまま別のサービスで試行する攻撃。クレデンシャルスタッフィングとも呼ばれ、パスワードの使い回しが被害を拡大させる。多要素認証やリスクベース認証が有効な対策。

攻撃者があらかじめ用意したセッションIDを利用者に使わせ、その利用者が認証を済ませた後に同じIDでセッションを乗っ取る攻撃。認証成功時にセッションIDを再発行することが基本的な対策となる。

正規の利用者が送信した認証情報などのデータを盗聴して記録し、そのまま再送信して不正にアクセスする攻撃。内容を解読できなくても成立する。ワンタイムパスワードやチャレンジレスポンス認証、乱数（ノンス）の利用で防ぐ。