[ホーム] > [サイバー攻撃大辞典 トップ] > [リバースブルートフォースアタック]


作成日:2020/09/15

リバースブルートフォースアタック

リバースブルートフォースアタック


リバースブルートフォースアタックとはパスワードによる認証システムに対する攻撃の一種。通常のブルートフォースアタックはユーザ名を固定し、大量の組み合わせのパスワードで解読するが、リバースブルートフォースアタックでは、逆にパスワードを固定し、そのパスワードでユーザID名を変更して攻撃を行う。
この場合、連続したパスワード入力誤りによるアカウントロックを回避して、攻撃を行うことができる。

(*)「brute force(ブルートフォース)」は"力ずく"という意味。


なぜこのような手法を行うかを説明する。一般的なユーザ名、パスワードで認証する認証システムでは一定回数パスワードの入力誤りが発生した場合、アカウントをロックするのが一般的である。もしそのような制限がない場合、連続して"やまかん"で多くのパスワードを順番に試せばパスワードを突破してしまう可能性があるからである。この手法ではほとんど突破することはできないであろう。

そこで以下のような方法でセキュリティを突破する。
・試すパスワードを固定して、ログインを試みるユーザIDを順番に変更する。
・ログインを試みる機器のIPアドレスは順に変更する。

これにより"同一アカウントで複数ログインが失敗した場合にアカウントをロックする"という制限を回避することができる。
また同一IPアドレスからのログイン試行を拒否するというセキュリティはボットなどを変更して使用することにより回避することができる。



攻撃例


ユーザ名(00000001〜99999999)に対してよく使用されるパスワードである「123456」「password」「qwer」を使用してログイン試行を行う。


対策


・ユーザがパスワードを設定するとき、単純なパスワードは拒否する。
・同一のIPアドレスからのログイン試行は一定回数以上無効とする。(ただし攻撃者はIPアドレスを変更したり、複数ボットから試行を行うため、実際に効果は薄い







[ホーム] > [サイバー攻撃大辞典 トップ] > [リバースブルートフォースアタック]


本サイト内掲載されている情報は、誰もその正当性は保証しません。独自の調査により判明した事項を記載しており、内容に誤りがある可能性があります。
内容により発生したいかなる損害は誰も補償しません。自己責任で参考として閲覧してください。
本サイト内掲載されている情報は、著作権法により保護されています。いかなる場合でも権利者の許可なくコピー、配布することはできません。 このページはリンクフリーです。(このページへの直接リンクも可能です。) Copyright(c) securitychecklist.net 2015 - 2020