パスワード攻撃への対応

パスワードを用いた認証

ハッシュ関数を用いた認証
パスワード認証の大前提は，「パスワードは利用者本人しか知らないはずの文字列であり，それが指定されれば正当な利用者と認証する」ものであり，安全なパスワードを指定するのは利用者の責任です．
パスワードを使って認証を行うシステムでは，一般にパスワードを直接保存する代わりにパスワードにハッシュ関数を適用した結果のハッシュ値を保存します．これは．例え悪意ある者に見られたとしてもパスワードが分からないようににするためです．
ハッシュ値で保存されたパスワードを用いて認証処理を行う場合、ハッシュ値から元のパスワードを得ることはできないため，ユーザが入力したパスワードからハッシュ値を求め，データベースに保存されたハッシュ値と照合して、一致していれば認証されたと見なします．ハッシュ値によるパスワード保存には鍵を用いないため，鍵管理の必要がない利点があります．
ハッシュ化パスワードの保管
パスワードをハッシュ値で保存する場合，システム側でもパスワードを知ることはできません．そのため，以下の対応が必要になります．
- パスワードリマインダの実装
  利用者がパスワードを忘れた際に，メールなどでパスワードを通知する「パスワードリマインダ」機能があるが，パスワードが分からないためこのような方式は採れない．利用者がパスワードを再設定できる機能（仮パスワードや再設定用 URL を送るなど) を用いる．
- パスワードの保存方法の変更
  安全性向上のためにハッシュアルゴリズムなどハッシュ値の生成方法を変更したい場合がある．パスワードを復号可能な方式で保存している場合は，パスワードを復号して新しい方式で再暗号化できるが，ハッシュの場合は復号できないため，以下のような方式が採られる．
  - ユーザが認証したタイミングでハッシュ方式を変更する．認証成功時にはパスワードが分かるので，そのパスワードを新しいハッシュ方式に変換し保存する．
  - 緊急にパスワードを変更しなければならない場合は，現在のパスワードを無効にしてパスワードリセットにより新しいパスワードを利用者に再設定してもらうようにする．
  - 複数のハッシュ方式の存在に備えるため，ハッシュ値の保存時にパスワードの保存方式を示すマークを付けておく．
ハッシュ化パスワードに対するオフライン攻撃
オフライン攻撃の前提としては，ハッシュ値で保存されたパスワードファイルを攻撃者が見ることができ，かつ使われているハッシュアルゴリズムやその他のパラメータが知られているとするのが最悪ケースとして想定される．
ハッシュ値で保存されたパスワードに対する代表的な攻撃手法としては以下がある．
- オフライン辞書攻撃
  パスワード辞書に対するハッシュ値を順に求めては，入手したパスワードデータに保存されたハッシュ値と照合し，一致するものがあればそのハッシュ値に対応するパスワードが求められる．パスワード辞書に載っているパスワードであれば，短時間でパスワードが求められる．
- オフライン総当たり攻撃
  すべてのパスワードに対し総当たり攻撃（ブルートフォース攻撃）を行う．
- レインボーテーブルによる探索
  事前にテーブルを用意し，総当たり探索を高速化する手法

オフライン攻撃対策

レインボーテーブル (rainbow table)
総当たり探索を高速化する手法として，すべてのパスワードに対するハッシュ値をあらかじめ求めておき，ハッシュ値からパスワードを引けるように並べた逆引き表を作る方法がある．すなわち，あるパスワード P_i とそれをハッシュ化した値 C_i をテーブルに格納しておき，このテーブルを逆引きすればハッシュ値から対応するパスワードが得られるものである．
しかし，パスワード-ハッシュ値の逆引き表は莫大な記憶領域を必要とし実用的ではない．そこで、表のサイズを圧縮するために，還元関数を用いたチェインというアイデアによる「レインボーテーブル」という技法が考案された．レインボーテーブルは，探索における時間と空間のトレードオフを実現している．
あるハッシュ値 C_i を種として，次のターゲットとなる平文を適当に選ぶ関数 R を考える。ここで、関数 R には，出力が平文の候補として正当であること（例えば，パスワードが英数字しか受け付けないのであれば，常に英数字のみからなる文字列を出力すること）と副作用がないという条件を満たせばどのような関数を使用してもよい．この関数 R は還元関数 (reduction function) と呼ばれる．ハッシュ関数と還元関数を交互に適用し，次のようなチェーンを作る．
P_i → C_i → P_i+1 → C_i+1 → ・・・→ C_i+m
このようなチェーンを複数作り，チェーンの先頭と末尾だけを記録した表がレインボーテーブルである．ハッシュ値からパスワードを得るには，ターゲットとなるハッシュ値を還元関数とハッシュ関数に次々に適用していき，テーブル内のハッシュ値とマッチするまでチェインを探索する．
レインボーテーブル対策
レインボーテーブルに対する対策には，次のようなものがある．
- ソルト (Salt)の使用
  ソルトは，ハッシュ関数 H でハッシュ値 hash を計算する際にパスワード (password) の前後に付け加える短い文字列 (salt) である．
  hash = H (password || salt) ("||" は文字列結合演算子）
  ソルトを利用すると，同じパスワードでもハッシュ値は異なるようにでき，またパスワードを長くしたのと同じ効果が得られる.
  ソルトが使われている場合，次の理由からレインボーテーブルの有効性は著しく低下する．
  - 取りうるソルトの値の数だけテーブルを作成する必要がある．
  - 実質的にパスワードが長くなる．
  これらの効果を得るために、ソルトには以下の要件が必要である．
  - ユーザーごとに異なるソルトを使う．
  - ある程度の長さ（20文字程度以上）を確保する．
  なお，一般にソルトはハッシュ値とともに保存するので，オフライン攻撃者にとってソルトは秘密情報ではない．
- ストレッチング
  ストレッチングは，パスワードからハッシュ値を計算する際に，ハッシュ関数を複数回（数千回程度以上）繰り返す方法である．一般にハッシュ関数は高速性を求められるが，この高速性は総当たりに要する時間も短縮され総当たり攻撃を容易化することにもなる．高速なハッシュ関数を繰り返し用いるこでと意図的に速度を遅くし，総当たり攻撃に対する時間を増大させるというのがストレッチングによる対策である．
  ストレッチングの回数は多いほど安全性は高まるが，パスワード認証の時間も増加する．そのため，安全性と処理時間のトレードオフで実際の回数を決定する必要がある．
- その他
  テーブル作成時に指定していなかった文字種が平文に含まれていた場合，テーブルから平文を得ることはできない．そのため，パスワードに十分な長さと文字種を持たせることがレインボーテーブルへの有効な対策となる．