修了試験 2021-12-12実施分 基本情報技術者試験 問44

解説

正解は4です。 パスワードファイルが盗まれても、登録パスワードを悪用されないための対策を問う問題です。 ハッシュ関数は、元のデータからハッシュ値を作るのは簡単でも、ハッシュ値から元のデータに戻すのは困難という性質を持っています。 【選択肢別解説】 1：× 利用者IDをハッシュ値にしても、パスワード自体はそのまま登録されています。 ファイルが盗まれると、パスワードがそのまま知られてしまいます。 2：× 圧縮は元に戻せる変換です。 ファイルを盗んだ者も復元できるので、パスワードの盗用は防げません。 3：× 登録パスワードをそのまま保存しているので、ファイルが盗まれるとパスワードが知られてしまいます。 認証時にハッシュ値で比較しても、盗用の防止にはなりません。 4：○ ハッシュ値だけを登録しておけば、ファイルが盗まれても元のパスワードを求めるのは困難です。 認証時は入力されたパスワードのハッシュ値を計算し、登録値と一致するかを比べれば認証できます。 【ポイント】 パスワードは平文で保存せず、ハッシュ値で保存するのが基本です。 さらにソルト（利用者ごとのランダムな値）を加えてからハッシュ化すると、レインボーテーブル攻撃にも強くなります。