辞書攻撃

辞書攻撃とは、あらかじめ用意したパスワード候補のリストを順番に試すことで認証システムの侵害を狙う、認証情報の解読手法です。「辞書ベース攻撃」とも呼ばれ、一般的な単語、よく使われるフレーズ、固有名詞、推測しやすい文字の組み合わせをパスワードに選ぶユーザーの傾向を悪用します。また、攻撃者は辞書ベースの手法を用いて、有効なメールアドレスを自動的に列挙し、スパムキャンペーンに利用することもよくあります。

考えられる文字の組み合わせをすべて網羅的に試行し、多大な計算リソースと時間を消費するブルートフォース攻撃とは異なり、辞書攻撃では、よく使用されるパスワードや漏えいしたパスワードを収録した事前定義済みの単語リストを利用するため、より迅速かつ効率的に侵害を試みることができます。

辞書攻撃を実行するための辞書や専用ソフトウェアツールは、市販されているほか、セキュリティコミュニティのリソースから無料でも広く入手できます。辞書の規模は、数千件から数百万件に及びます。IT管理者やセキュリティ専門家は一般に、これらのツールや辞書を予防的に活用し、セキュリティテスト、ペネトレーションテスト、パスワード監査を実施することで、自社システムがこの攻撃手法の影響を受けやすいかどうかを評価しています。

一般的な緩和策として、辞書の登録語や推測されやすいパスワードのリストのみを基に作成された認証情報を自動的に拒否する、パスワード作成ポリシーの適用が挙げられます。ただし、辞書フィルタリングポリシーが厳しすぎると、ユーザーエクスペリエンスに悪影響を及ぼし、ポリシーに準拠したパスワードを選びにくくなる可能性があります。そのため、セキュリティ担当者は、パスワードの複雑さに関する要件と実用上の使いやすさのバランスを取る必要があります。

もう1つの重要なポリシーは、「Joeアカウント」（ユーザー名とパスワードが同一のユーザーアカウント）を排除することです。このようなアカウントは、自動化された辞書攻撃ツールの主要な標的となることが多いためです。セキュリティ管理者は、少なくともJoeアカウントの作成を禁止する制御を実装し、パスワード複雑性のガイドラインを適用して、認証情報の推測が成功する可能性を最小限に抑える必要があります。