総当たり(ブルートフォース) 攻撃

総当たり（ブルートフォース）攻撃は、パスワードや暗号鍵などの候補を、定めた探索範囲の全組合せについて機械的に試し、正解を見つけようとする攻撃です。

■ 試験で押さえるポイント

• 探索空間は使用可能文字数をN、長さをLとするとNのL乗です。候補を増やすと指数的に大きくなり、辞書攻撃のような人の選択傾向へは依存しません。

• オンライン認証には試行速度制限、段階的な遅延、異常検知、MFAが有効です。単純な永久ロックは正規利用者を狙ったDoSへ悪用され得ます。

• 盗まれたハッシュへのオフライン試行には認証サーバの回数制限が効かないため、固有ソルトと計算・メモリコストの高いハッシュで一試行を高価にします。

• 長さと乱雑さが十分な固有パスワードをパスワードマネージャで生成し、暗号鍵は安全な乱数と現在の基準を満たす鍵長で作ります。

■ 選択肢での判断ポイント

候補の全組合せを試す点と探索空間の計算を押さえます。候補集を使う辞書攻撃、漏えい済みの組を使うパスワードリスト攻撃とは異なります。

例: 英大小文字と数字の62種類で8文字なら$62^8=218{,}340{,}105{,}584{,}896$通りです。毎秒10億回でも最悪218,340秒、約2.53日を要します。