アイデンティティ攻撃への対策

ブルートフォース攻撃ぶるーとふぉーすこうげき

パスワードクラック辞書攻撃アカウントロック認証総当たりレートリミット

ブルートフォース攻撃について教えて

簡単に言うとこんな感じ！

「0000」「0001」「0002」…って暗証番号を片っ端から試し続ける、まさに力まかせの鍵破り攻撃だよ！コンピュータはこれを猛スピードでやるから、短くて単純なパスワードはあっという間に突破されちゃうんだ。

ブルートフォース攻撃（Brute Force Attack）とは、パスワードや暗号鍵など考えられる組み合わせをすべて機械的に試し続けることで、正解を見つけ出そうとするサイバー攻撃の手法です。「ブルートフォース」とは「力まかせ」を意味し、知性ではなく計算力でごり押しするアプローチが特徴です。

たとえば4桁の数字パスワードなら「0000〜9999」の1万通りを試せば必ずヒットします。現代のコンピュータは1秒間に数十億回の試行が可能なため、短いパスワードや単純なパスワードは数秒〜数分で突破されてしまう危険があります。

ビジネスの現場では、社内システムや業務アプリのログイン画面が標的になりやすく、攻撃を受けてもすぐ気づかないケースが多いため、発注・選定段階で「対策が組み込まれているか」を必ず確認すべき脅威です。

ブルートフォース攻撃にはいくつかのバリエーションがあります。攻撃方法を理解すると、どんな対策が有効かが見えてきます。

攻撃の種類	内容	特徴
純粋な総当たり	a, b, c … aa, ab … と全組み合わせを試す	確実だが時間がかかる
辞書攻撃	「password」「123456」など実際に使われやすい単語リストを使う	効率が高く被害が多い
リバースブルートフォース	パスワードを固定して、多数のIDを試す	アカウントロックをすり抜ける
クレデンシャルスタッフィング	過去の漏洩データ（ID＋パスワードのセット）を使い回す	成功率が高く非常に危険
ハイブリッド攻撃	辞書単語＋数字・記号の組み合わせを試す	「password1!」などに有効

「総当たり → 辞書 → 逆引き → 詰め込み（クレデンシャル） → 混合（ハイブリッド）」と段階的に”賢く”なっていくイメージで覚えると整理しやすいですよ。

パスワードが1文字増えるだけで試行回数は数十倍に膨れ上がります。

パスワードの長さ	使用文字種	組み合わせ数	突破時間の目安
4文字	数字のみ	約1万通り	即時〜数秒
6文字	英小文字のみ	約3億通り	数秒〜数分
8文字	英大小文字＋数字	約218兆通り	数時間〜数日
12文字	英大小＋数字＋記号	約4京通り超	現実的には解読不能

※ 攻撃機材の性能・ハッシュ化方式によって大きく変わります。あくまで目安として。

ブルートフォース攻撃への対策は「試行を困難にする」「試行を検知・遮断する」「パスワード以外の要素を加える」の3軸で考えます。

システム発注・選定時に必ず確認したい項目をまとめました。

規格・RFC番号	内容
RFC 8018	PKCS #5: パスワードベース暗号化仕様。パスワードからの鍵導出に反復処理を使い、ブルートフォースを困難にする
RFC 9106	Argon2 メモリハード関数の仕様。総当たり攻撃耐性を高めるパスワードハッシュアルゴリズム
RFC 4226	HOTP（HMAC-Based One-Time Password）。ワンタイムパスワードによるMFAの基盤仕様
RFC 6238	TOTP（Time-Based One-Time Password）。時刻ベースのワンタイムパスワード仕様（Google Authenticatorなど）