正解：ウ
各選択肢の解説
アすべての利用者に、90日ごとのパスワード変更を義務づける。
誤り。定期変更は、知られてしまったパスワードが使える期間を区切る考え方です。 変更しても「Summer2026」が「Autumn2026」になるだけなら、辞書の語に数字を付けた形は残ります。 パスワードの作り方そのものを変えないと、辞書攻撃には効きません。
イ社外のサービスと同じパスワードを、社内システムで使わないよう求める。
誤り。これはクレデンシャルスタッフィングへの対策で、他社で漏れたパスワードの流用を防ぎます。 社外と違うパスワードにしても、それが単語に数字を付けただけなら辞書で当てられます。 流用を防ぐ対策か、推測を防ぐ対策かで区別します。
ウよく使われるパスワードや、辞書の単語をもとにしたものは登録させない。
正解。辞書攻撃は、単語やよく使われるパスワードを集めた一覧を順に試す攻撃です。 その一覧に載るようなパスワードを登録の段階ではじけば、試行で当たらなくなります。
エパスワードを入力する画面との通信を、すべて暗号化することを求める。
誤り。通信の暗号化は、経路上でパスワードを盗聴されたり、その値を再送されたりする リプレイ攻撃への備えです。辞書攻撃は通信を盗み見ず、ログイン画面に候補を入れて試すので、 経路を守ってもパスワードの弱さは変わりません。
理解を深めるために
規則を満たしていても、当てやすいパスワードはある
「8文字以上で英字と数字を含む」という規則は、「password1」でも「Summer2026」でも満たせます。 文字数と文字種の条件は、組み合わせの総数を増やして総当たりに時間をかけさせるためのものですが、 人が覚えやすい単語に数字を足した形は、攻撃者も真っ先に試します。 単語やよく使われるパスワードを集めた一覧（辞書）を順に試す攻撃を辞書攻撃と呼びます。
なぜ「登録させない」が効くのか
辞書攻撃は、すべての組み合わせを試す総当たり攻撃より、ずっと少ない回数で当たりを引きます。 人がつけるパスワードに偏りがあるからです。
- 一覧に載るパスワードは、文字数を満たしていても数回から数千回で当たる
- 登録時に一覧と照らしてはじけば、利用者の選ぶパスワードが一覧の外に出る
- 規則を「長さと文字種」だけで作ると、この偏りは残る
つまり、辞書攻撃への備えは「攻撃者が試す一覧に載らないパスワードにさせる」ことです。 ログインの失敗回数を制限する仕組みとも組み合わせると、試せる回数そのものも減らせます。
混同しやすいものとの違い
| 対策 | 主に防ぐもの | 辞書攻撃への効果 |
|---|---|---|
| 一覧に載るパスワードの登録禁止 | 辞書攻撃 | 試す一覧から外れるので当たらない |
| 定期変更 | 知られたパスワードの長期利用 | 単語に数字を付ける癖は残る |
| 他サービスとの使い回し禁止 | クレデンシャルスタッフィング | 推測されやすさは変わらない |
| 通信の暗号化 | 盗聴・リプレイ攻撃 | 画面から試す攻撃には効かない |
攻撃が「推測して試す」のか「どこかで手に入れたものを使う」のかで、効く対策は分かれます。 辞書攻撃は前者で、中でも人の癖を突くものです。