パスワードクラック対策

パスワードを推測や総当たりで割り出す攻撃（パスワードクラック）への対策。ログインを受け付ける側では、連続して失敗したときのアカウントロックや多要素認証で防ぐ。パスワードを保存する側では、ソルトを加えてハッシュ値にし、ハッシュ値が漏れても元のパスワードを割り出されにくくする。

パスワードを推測や総当たりで割り出すパスワードクラックへの対策。ログインを受け付ける側では、連続して失敗したときのアカウントロックや試行間隔の制限、多要素認証の導入でオンラインでの攻撃を防ぐ。パスワードを保存する側では、ソルトを加えたうえでハッシュ計算を何度も繰り返すストレッチングを行って保管し、ハッシュ値が漏えいしてもレインボーテーブルや総当たりで解読されにくくする。

パスワードを推測や総当たりで割り出すパスワードクラックへの対策。ログインを受け付ける側では、連続して失敗したときのアカウントロックや試行間隔の制限、多要素認証の導入でオンラインでの攻撃を防ぐ。保存する側では、ソルトを付けてbcryptやArgon2のような計算に時間のかかるハッシュ関数で保管し、ハッシュ値が漏えいしても解読されにくくする。

システムを利用しようとしている人や機器が、本人（本物）であることを確かめること。利用者IDとパスワードのような記憶しているもの（知識）、ICカードやスマートフォンのような持っているもの（所持）、指紋や顔のような身体の特徴（生体）を使い、異なる種類を2つ以上組み合わせる多要素認証にすると安全性が高まる。

パスワードを入力する手元や、画面に表示された情報を、背後や横からのぞき見て盗み取ること。ショルダーハッキングとも呼ばれる人的脅威の一つで、のぞき見防止フィルタの利用、入力時に周囲を確認することなどで防ぐ。

利用者が本人であることを確認するために使う秘密の情報。パスワード、PIN、暗号鍵、ICカードやトークンに格納された情報などが該当し、割当て時の安全な配布、利用者による秘密の保持、定期的な見直しなどで管理する。

盗み出したパスワードのハッシュ値を、平文に戻さずにそのまま認証に使ってログインする攻撃。WindowsのNTLM認証のように、ハッシュ値だけで認証が成り立つ仕組みを悪用し、侵入した端末から他の端末へ侵害を広げるラテラルムーブメントで多用される。平文のパスワードを解読する必要がないため、パスワードを複雑にしても防げない。

パスワードや暗号鍵として考えられる文字の組合せをすべて順に試して、正しい値を見つけ出す攻撃。パスワードが短く使う文字種が少ないほど短時間で破られるため、十分な長さのパスワード、ログイン試行回数の制限（アカウントロック）、多要素認証で対策する。

パスワードとそのハッシュ値の対応を効率よく引けるように事前に計算した表（レインボーテーブル）を使い、漏えいしたハッシュ値から元のパスワードを短時間で割り出す攻撃。パスワードごとに異なるソルトを付加してからハッシュ化し、事前に計算した表を使えなくして対策する。