情報セキュリティマネジメント試験基礎・応用
条件を読む・根拠を説明する
同じパスワードの保存値
条件を整理し、答えを選んでから解き方を確認しましょう。
認証DBを保護するため、利用者ごとに異なるsaltを使い、適切なパスワードハッシュ方式とコストで保存する。saltをハッシュと同じDBに置く理由として適切なのはどれか。
答え・解き方を読む
照合に必要でありsaltの役割は同一入力の共通事前計算を使い回しにくくすること
考える順序
- 1saltは利用者ごとの保存値の差別化に使う
- 2照合で同じsaltが必要なので保持する
- 3オフライン推測への負担には適切な方式とコストも必要
選択肢ごとの理由
- 比較 · saltを公開可能にすると平文パスワードへ即座に戻せる
saltを知ることと元のパスワードを得ることは別です。
- 比較 · saltは暗号化鍵なので必ず利用者が暗記する
復号に使う秘密鍵や追加の暗記情報とは異なります。
- 比較 · saltがあれば高速な単純ハッシュだけでも推測コストは同じ
saltだけでは一回の推測計算の速度を十分に抑えられません。
- 正解 · 照合に必要でありsaltの役割は同一入力の共通事前計算を使い回しにくくすること
saltは利用者ごとの保存値の差別化に使う。照合で同じsaltが必要なので保持する。オフライン推測への負担には適切な方式とコストも必要。