米マカフィーの教育プログラム「Essentials of Hacking」および「Ultimate Hacking」で筆者が講義する際に詳しく取り上げたい話題の一つは、パスワードのブルート・フォース（総当たり）攻撃とクラックである。筆者は通常、まず生徒たちに「強靱なパスワード・ポリシー」について考えてもらい、その後これらのポリシーに共通する実装や攻撃について分析することにしている。必然的に、生徒が考え出すパスワード・ポリシーは、おおむね以下のようなものとなる。

・最低1文字の大文字
・最低1文字の小文字
・最低1文字の数字
・最低1文字の記号
・長さは最低7文字

このパスワード・ポリシーを簡単に解析してみると、以下のようなものとなる。
・文字セットの数は、おおまかにアルファベット52文字、数字10個、最大12個の記号（合計74個）

・パスワードの長さは7文字以上
・大半の人は7～8文字のパスワードを選ぶ（ここに危険がひそんでいる）
・パスワードの鍵空間はおよそ74の9乗（つまり66540410775079424で、6.7×10の16乗程度）

このパスワード・ポリシーは、筆者が目にするほとんどのセキュリティで一様に取り入れられている。これらのルールを導入するための実装部分はそれほど似通ってはいないのだが、これについては別の機会に述べたい。いずれにせよ、上記のようなパスワード・ポリシーは、ごく一般的なケースだ。

詳細は、ITproの記事本文をご覧ください。

• BPnet ホーム
• ニュース
• IT
• 画面先頭に戻る