ざっくりとリバースブルートフォースアタック
- パスワード固定でIDを試す攻撃
- ブルートフォースアタックの逆手法
- 複数のIDを狙う解読方法
リバースブルートフォースアタックとは、パスワード固定でIDを試す攻撃です。
概要説明
リバースブルートフォースアタックとは、パスワードを固定して全通りのIDを試す攻撃方法である なぜならば、最近のシステムは連続したパスワードの間違いを検知してロックするから。
例えば、オンラインバンキングのログイン画面である。そして、攻撃者はこのロックを避けるためにこの方法を使う。
つまり、一つのパスワードで多くのIDを試すことで効率的に攻撃する。だから、IDも強固に設定することが大切。
詳細説明
通常のブルートフォースアタックでは、一つのID（例：メールアドレスやユーザー名）に対して、全ての可能なパスワードを試していく。しかし、最近の多くのシステムは、短時間に何回も間違ったパスワードを入力すると、そのIDに対するログインを一時的にロックする。これにより、通常のブルートフォースアタックは効果を発揮しづらくなっている。
ここで登場するのがリバースブルートフォースアタック。この攻撃方法では、攻撃者は一つの「パスワード」を選び、それが合致する「ID」を見つけ出すために全ての可能なIDを試していく。例えば、攻撃者が「1234」という簡単なパスワードを選ぶと、そのパスワードを使っている全てのID（メールアドレスやユーザー名）を試みる。
この方法の利点は、一つのパスワードで多くのIDを試せるため、システムがロックされにくいこと。特に、多くの人が同じような簡単なパスワードを使っている場合、この攻撃方法は非常に効果的。
ただし、この攻撃も完全には防げないわけではない。多くの現代のセキュリティシステムは、不審なログイン活動を検出して警告を出す機能を持っている。それでも、ユーザー自身が強固なIDとパスワードを設定することが、最も確実な防御方法と言える。
職業職種
サイバーセキュリティ専門家
サイバーセキュリティ専門家は、リバースブルートフォースアタックを知っている。なぜなら、この攻撃を防ぐための対策を考える仕事だから。例えば、セキュリティソフトの開発やアドバイス。
ハッカー
ハッカーは、リバースブルートフォースアタックを使用することがある。なぜなら、情報を不正に手に入れるための一つの手法だから。例えば、大手企業のアカウントを狙う時。
システム管理者
システム管理者は、リバースブルートフォースアタックを防ぐための対策を行う。なぜなら、ユーザーの情報を守る責任があるから。例えば、ログイン試行回数の制限を設定する。
リバースブルートフォースアタックは、名前の由来は「ブルートフォースアタック」の逆手法を指す「リバース（逆）」と、全通りを試す「ブルートフォース」から来ています。
リバースブルートフォースアタックの代表例
Adobe
Adobeは、リバースブルートフォースアタックで有名である。なぜなら、2013年に大規模なデータ侵害があり、この手法が使われたとされるからだ。例えば、ユーザーIDと暗号化されたパスワードが漏洩した。
LinkedInは、リバースブルートフォースアタックで名高い存在である。なぜなら、2012年にパスワードが多数漏洩し、この手法の可能性が指摘されたからだ。例えば、60万以上のハッシュ化されたパスワードが流出した。
Yahoo
Yahooは、リバースブルートフォースアタックで世間に知られている。なぜなら、過去に何度も大規模なデータ侵害があり、この手法が疑われたからだ。例えば、2013年と2014年に発生した大規模なデータ侵害事件。
手順例
以下は、リバースブルートフォースアタックの基本手順です。対象選定
最初に攻撃対象のサービスやアプリを選ぶ。なぜなら、全てのサービスがこの攻撃に対して脆弱でないからだ。例えば、セキュリティが甘いとされるサービスを選ぶ。
パスワード選定
一般的によく使われるパスワードを選ぶ。なぜなら、多くの人が簡単なパスワードを使っている可能性が高いからだ。例えば、「1234」や「password」。
攻撃開始
選定したパスワードで、可能な限り多くのIDを試す。なぜなら、同じパスワードを使っているIDが見つかる可能性があるからだ。例えば、自動化ツールを使って大量のIDを試す。
類似語
辞書攻撃（Dictionary Attack）
辞書攻撃は、リバースブルートフォースアタックの類似語である。なぜなら、両方ともパスワード解読の一手法であり、リストから選んで試す点が似ているからだ。例えば、事前に作成されたパスワードリストを使う。
クレデンシャルスタッフィング（Credential Stuffing）
クレデンシャルスタッフィングは、リバースブルートフォースアタックの類似語である。なぜなら、両方とも既存のIDとパスワードの組み合わせを試す手法だからだ。例えば、過去に漏洩したIDとパスワードを使う。
レインボーテーブル攻撃（Rainbow Table Attack）
レインボーテーブル攻撃は、リバースブルートフォースアタックの類似語である。なぜなら、両方とも暗号化されたパスワードを解読する手法だからだ。例えば、計算済みのハッシュ値を使う。
反対語
認証（Authentication）
認証は、リバースブルートフォースアタックの反対語である。なぜなら、認証は正当なユーザーを確認する行為で、攻撃とは逆の目的を持つからだ。例えば、パスワードを正確に入力してログインする。
セキュリティ対策
セキュリティ対策は、リバースブルートフォースアタックの反対語である。なぜなら、これは攻撃を防ぐための手段であり、攻撃自体とは逆の概念だからだ。例えば、二段階認証を設定する。
暗号化（Encryption）
暗号化は、リバースブルートフォースアタックの反対語である。なぜなら、暗号化はデータを保護する手段であり、攻撃とは逆の目的を持つからだ。例えば、パスワードをハッシュ化して保存する。
リバースブルートフォースアタックの注意点
リバースブルートフォースアタックを使用する時の注意点は法的リスクである。なぜならば、この行為は違法であり、逮捕される可能性が高いからだ。例えば、不正アクセス禁止法に違反する。そして、被害者に多大なトラブルをもたらす。だから、絶対にやってはいけない。
リバースブルートフォースアタックとブルートフォースアタックは、間違えやすいので注意しましょう。
リバースブルートフォースアタックは、パスワードを固定してIDを試す手法です。
一方、ブルートフォースアタックは、IDを固定してパスワードを試す手法です。
コメント