ブルートフォース／リバースブルートフォースとは？

• 投稿日：2020-10-01　
• 最終更新日：2021-01-09　
• 表示：79PV　
• カテゴリ：攻撃方法

今回は攻撃方法のご紹介です。
ドコモ口座問題で話題になった攻撃方法「ブルートフォース」と「リバースブルートフォース」のお話です。

不正ログインの手法

そもそもログインに必要な情報とは？

サービスのログインに必要な情報とは何でしょうか？
そう聞かれて答えると、ほとんどの方は次の２つを答えるはずです。

• ログインＩＤ
• パスワード

２段階認証など、それ以外の要素を足した場合もあります。
また、「ログインＩＤ」を「会員番号」など、別の呼び方をする場合もあります。
が、最低でも必要な情報は、どのようなサービスであっても、上記の２つでしょう。

不正ログインするためには、究極的には、上の２つの情報を得ることが必要になります。

ブルートフォースとは？

ブルートフォースとリバース・ブルートフォースは、同じ言葉「ブルートフォース」から派生しました。
ブルートフォースとは、日本語では「総当たり攻撃」と訳されます。
直訳すると、

1. （純正）総当たり攻撃＝ブルートフォース
2. 逆の総当たり攻撃＝リバースブルートフォース

となります。

総当たり攻撃とは？

文字を順番に並べてログインできるか試します。

• 数字であれば、０から９まで順番に
• 英文字であれば、小文字のａからｚまで順番に
  続いて大文字のＡからＺまで順番に

攻撃者が「セキュリティ攻撃をする人の目的」でお話をした「金銭」目的の場合、できるだけ早くお金が欲しいでしょう。
お金を得るために不正ログインするのですから、不正ログインに必要な情報をできるだけ早く得たいでしょう。
そのためには、攻撃回数を減少させる必要があります。
１回の攻撃が短時間であっても、総当たりするのはそれなりの時間がかかるためです。
そのため、総当たり攻撃は、不正ログインに必要な２項目「ログインＩＤ」と「パスワード」の一方を固定して、回数を半減させています。
それでは、ブルートフォースとは、何を総当たりするのでしょうか？

ブルートフォース攻撃とは

不正ログインに必要な２項目「ログインＩＤ」と「パスワード」の「ログインＩＤを固定」して、パスワードを総当たりします。

防御策

コンピュータで連続処理するのは手間がかからないため、ブルートフォースは、防御ができていない初期の攻撃としては、効果があります。
しかし、防御する側も、考えました。
人間なので入力間違いはあるだろう。
しかし、パスワードを知っていれば、３回も入力ミスすることはないはず・・・
と言うことで、３回間違えれば、「ログインできなくする」or「ログインミスをユーザに連絡する」という防御策をサービスサイトはとるようになりました。

リバースブルートフォース攻撃とは

同じログインＩＤで不正ログイン対策されたのであれば、逆（＝リバース）にパスワードを固定して、ログインＩＤを総当たりすればよいのでは？と考えたのが、「リバースブルートフォース攻撃」です。
「ログインＩＤ」とは逆の「パスワードを固定」することから、リバース（逆）と名付けられています。

ユーザーは人なので、ログインＩＤ当たりの間違い回数１回で、「ログインできなくする」or「ログインミスをユーザに連絡する」という防御策をとれないだろう。。。という考えの攻撃です。

タグ：パスワード, ブルートフォース, リスト

広告枠・・・広告やリンク先の保証はしません

参考記事（一部広告含む）

このページの記事についてちょっと質問！