NW-C11｜情報Ⅰ 対策問題

正答

1

この問題のポイント

パスワードのハッシュ保存（流出前提の防御） を問う問題です。運営者側の責任という視点で考えます。

解説

平文とは、暗号化などの加工をしていない「そのまま読める」状態のデータのことです。パスワードを平文のままデータベースに保存していると、不正アクセスや内部の過失でデータベースが流出したとき、全利用者のパスワードがそのまま攻撃者の手に渡り、直ちに悪用されてしまいます。

そこで運営者は、パスワードをハッシュ値に変換して保存します。ハッシュは一方向の計算なので、ハッシュ値が流出しても、そこから元のパスワードを直ちに割り出すことはできません。ログイン時の照合は「入力されたパスワードをその場でハッシュ化し、保存してあるハッシュ値と比較」すればよいので、そもそも平文を保存しておく必要がないのです。

被害はそのサービスだけにとどまりません。流出したIDとパスワードの組は、他のサービスで同じ組を試すリスト攻撃に使われます。利用者側の教訓が「パスワードを使い回さない」であるのは、このためです。運営者はハッシュ保存で、利用者は使い回しの回避で、それぞれ流出に備えます。

共通テストでは、運営者側の対策(ハッシュ保存)と利用者側の対策(使い回さない・多要素認証)を結びつけて問う形が考えられます。「流出は起こり得る前提で、被害を最小化する」という発想を押さえましょう。

選択肢の確認

1．○ 平文のまま流出すれば全パスワードが即悪用される。ハッシュ保存で被害を抑える。
2．× 保存容量の問題ではない。
3．× 入力をハッシュ化して保存値と比較すれば照合できる。平文は不要。
4．× パスワードの保存自体は禁止されていない。問題は保存の方法。

ここだけは覚えよう

パスワードはハッシュ化して保存 — 流出前提の防御。利用者は使い回しをしないことで自衛。