総当たり攻撃（ブルートフォース攻撃）

4桁の数字でロックされた自転車の鍵の番号を忘れてしまったとき、一番シンプルな解決策は何でしょうか？それは「0000」から始めて「0001」「0002」と順番に、カチャリと開くまであらゆる番号を片っ端から試す方法です。

人間が手作業でダイヤルを回せば、1万通りの組み合わせを試すのに何時間もかかってしまいます。しかし、コンピューターのプログラムなら、わずか1秒の間に数千万回以上もの番号を代わりに試すことができます。

攻撃者はこの強力な計算能力を使って、私たちが設定したパスワードを手当たり次第に入力していきます。数学的にあり得るすべてのパターンを1つも漏らさず試すため、十分な時間さえあればいつかは必ず正解にたどり着く、力技ながら確実な手法なのです。

もう少し詳しく言うと、総当たり攻撃の成否は「組み合わせのパターン数」と「コンピューターの計算スピード」の勝負です。もしパスワードが数字4桁なら、組み合わせはたったの1万通りしかなく、コンピューターなら1秒もかからずに解いてしまいます。

しかし、そこにアルファベットの大文字・小文字や記号を混ぜ、長さを12文字以上に伸ばすと状況は一変します。作れるパターンの数が、想像を絶するほど天文学的な数字へと爆発的に跳ね上がるからです。

攻撃者の使う機材やサービスのパスワード保存形式にもよりますが、すべての組み合わせを総当たりで試すには、現実的に何百年以上もかかる計算になります。多くのサイトが記号を含めた長いパスワードの設定を求める理由はまさにここにあります。攻撃者がプログラムを走らせても、一生かかっても解けないほど時間を稼ぐための頑丈な盾なのです。

どんなに複雑なパスワードでも、無制限に入力を許していては、いつか突破されてしまうリスクが残ります。そのため、Webサイトやスマートフォンには総当たり攻撃を食い止めるための様々な安全装置が用意されています。

端末やサービスによって仕様は異なりますが、スマートフォンのロック画面のように、パスワードを何度も間違えると一定時間入力を受け付けなくなったり、アカウントをロックしたりする仕組みがその代表例です。コンピューターが1秒間に何百万回試そうとしても、1回入力するごとに待機時間を挟ませれば、攻撃スピードが劇的に落ちて実質的に成功しなくなります。ただし、パスワード情報そのものが丸ごと漏洩してしまうと、攻撃者の手元で制限なく総当たりを試せてしまうため、こうした仕組みだけでは防げません。やはりパスワード自体の長さも欠かせないのです。

ぐにゃぐにゃと歪んだ文字を読ませる「CAPTCHA（キャプチャ）」や、スマホへ確認コードを送る「2段階認証」も、プログラムによる自動入力をシャットアウトする強力な防御壁となります。