SC情報システムの企画・設計・開発・運用でのセキュリティ確保の推進又は支援に関すること · セキュアプログラミング

ストレッチング

Key Stretching

すとれっちんぐ

パスワードのハッシュ計算を数千回以上繰り返して意図的に処理時間を延ばし、総当たり攻撃の効率を下げる手法。ソルトと併用し、PBKDF2やbcryptなどのアルゴリズムで実装される。

共有:

他の資格での定義

パスワードのハッシュ計算を数千回以上繰り返し、1回当たりの処理時間をあえて長くする手法。正規の認証では体感できない遅延だが、総当たり攻撃では試行回数に比例して所要時間が膨らむため解読を困難にする。

Past Exams

過去問で 2 回出題（情報セキュリティマネジメント試験 1・応用情報技術者試験 1）。うち 1 回は用語そのものを問う問題です。

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

公開鍵暗号方式を基盤とした認証・暗号化の仕組み。認証局（CA）がデジタル証明書を発行し、通信相手の正当性の確認やデータの暗号化・電子署名を実現する。CA、RA（登録局）、VA（検証局）、リポジトリなどの構成要素からなる。

送信者の秘密鍵でメッセージのハッシュ値を暗号化したもの。受信者は送信者の公開鍵で復号・検証することで、送信者の認証（なりすまし防止）とメッセージの改ざん検出を実現する。否認防止にも利用される。

共通鍵を用いてメッセージの完全性と送信者の認証を検証するための短い情報。送信者はメッセージと共通鍵からMACを生成し、受信者は同じ鍵で検証する。HMAC、CMACなどの方式がある。デジタル署名と異なり否認防止はできない。

ある事実を知っていることを、その事実そのものを明かすことなく証明する暗号技術。パスワードや秘密情報を相手に渡さずに認証を行える。ブロックチェーンのプライバシー保護や認証プロトコルに応用される。

電子メールの暗号化とデジタル署名を行うための規格。メールアドレスごとに公開鍵証明書を用意し、メール本文の暗号化による盗聴防止と、デジタル署名によるなりすまし防止・改ざん検出を実現する。

パスワードのハッシュ値と平文の対応を効率的に圧縮した表（レインボーテーブル）を用いて、窃取したハッシュ値から元のパスワードを高速に逆引きする攻撃。ソルトを付与してハッシュ化すれば事前計算した表が使えなくなる。