情報処理安全確保支援士の用語と解説

Ransomware as a Serviceの略です。技術を持たない者でも攻撃できてしまう分業の仕組みです。 【別解】Ransomware as a Service

米国の犯罪学者クレッシーの理論です。内部不正対策では「機会」を減らすのが基本です。

ハックとアクティビズム（社会運動）を合わせた言葉です。Webの改ざんやDDoS攻撃が多く見られます。

パスワードとハッシュ値の対応表を使う攻撃です。利用者ごとに違うソルトを加えると表が使えなくなります。 【別解】レインボーテーブル

学習データに「毒」を盛ってAIの判断をゆがめる攻撃です。データの出どころの管理が大切です。

米国の軍需企業が提唱した7段階のモデルです。どこか1段階で断ち切れば攻撃を止められるという考え方です。

添付のOffice文書のマクロから感染し、盗んだメールを次の文面に使って広がりました。

暗号そのものではなく、装置から漏れる処理時間や電力などの「横の通り道」を狙う攻撃です。 【関連】処理時間の差を使うものはタイミング攻撃です。

守りの固い本命より、取引先や更新配信の経路など弱いところから侵入する攻撃です。 【別解】ソフトウェアサプライチェーン攻撃

typo（打ち間違い）とsquatting（不法占拠）の合成語です。パッケージ名でも使われる手口です。

ログイン成功後に新しいセッションIDを発行し直すことが対策です。 【別解】セッションフィクセーション／セッションフィクセーション攻撃／セッション固定攻撃

race（競走）の状態という意味で、実行順のずれで起きる不具合です。 【別解】競合状態

侵入の入口になりうるものの全体です。不要なサービスを止めて小さくするのが基本です。 【別解】アタックサーフェス

amplifier（増幅器）が語源で、問合せより応答が大きいことを悪用します。 【別解】DNSリフレクション攻撃／DNSアンプリフィケーション攻撃／DNS増幅攻撃 【関連】踏み台になるのはオープンリゾルバです。

誰からの再帰問合せにも答えてしまうキャッシュサーバです。問合せを受け付ける相手を社内などに限るのが対策です。

日本語では第三者中継です。迷惑メールの送信に悪用されてしまいます。 【別解】第三者中継

3ウェイハンドシェイクを最後まで終えないのが特徴です。SYN cookieが対策になります。 【別解】SYNフラッド

IPアドレスとMACアドレスの対応表を書き換え、中間者になる攻撃です。 【別解】ARPポイズニング

古く弱い版や暗号方式を使わせる攻撃です。弱い方式をそもそも無効にしておくのが確実な対策です。 【別解】バージョンロールバック攻撃

SはSpoofing（なりすまし）の頭文字です。残りは改ざん・否認・情報漏えい・サービス妨害・権限昇格です。 【別解】Spoofing

「心臓が血を流す」という名前です。秘密鍵まで漏れるおそれがあり、証明書の再発行が必要でした。

ログに書かれた文字列から外部のコードを読み込み、実行してしまう脆弱性でした。 【別解】ログフォーシェル

小さな雑音でAIの判定を誤らせるデータで、道路標識の認識をだます例が有名です。 【別解】アドバーサリアルエグザンプル

利用者ではなく外部のデータに命令を仕込むので「間接」です。外部データを指示と分けて扱うことが対策です。

23人いれば同じ誕生日の人がいる確率が5割を超える「誕生日のパラドックス」が由来です。 【別解】バースデー攻撃

プッシュ通知を繰り返して承認させる攻撃です。画面の数字を入力させる番号照合が対策です。 【別解】プッシュ通知爆撃／MFAボミング／MFA爆撃／プッシュ爆撃／多要素認証疲労攻撃／MFA Fatigue／Push Bombing

poly（多くの）＋morph（形）が語源です。処理の中身は同じで、包み方だけが変わります。 【別解】ポリモーフィック／多形型

キャッシュにない名前ばかりのため、毎回権威サーバまで問合せが届いて過負荷になります。 【別解】ランダムサブドメイン攻撃

略称はIABです。ランサムウェア攻撃の分業化を支える存在です。 【別解】IAB

Dependency Confusion（依存関係の混乱）と呼ばれます。取得先のリポジトリを固定するのが対策です。 【別解】Dependency Confusion／依存関係混乱／依存関係混同

平文と暗号文の組を知っている状況での攻撃です。平文を選ぶことはできません。 【関連】暗号文だけで挑むのは暗号文単独攻撃、平文を選べるのは選択平文攻撃です。

比較を最初の不一致で打ち切ると時間差が出ます。一定時間で比較することが対策です。

oracleは「お告げ」の意味です。エラーの区別を外に見せないことと、認証付き暗号の利用が対策です。

盗んだハッシュ値で認証を通る攻撃で、ハッシュを解読する必要がないのが厄介な点です。 【別解】Pass the Hash／パスザハッシュ攻撃／PtH

処理は速いものの、相手に鍵を安全に渡すのが難しい方式です。 【別解】共通鍵暗号／秘密鍵暗号方式／秘密鍵暗号／対称鍵暗号方式／対称鍵暗号

鍵配送の問題を解決した方式です。代表はRSAや楕円曲線暗号です。 【別解】公開鍵暗号／非対称鍵暗号方式／非対称鍵暗号

知識・所持・生体のうち2種類以上を組み合わせる認証です。 【別解】MFA／二要素認証 【関連】同じ種類を重ねるだけなら多段階認証です。

略称はOTPです。盗まれても次は使えないので、リプレイ攻撃に強い方式です。 【別解】OTP

略称はSSOです。便利な反面、一つのIDが破られると被害が広がるため強い認証と組み合わせます。 【別解】SSO

忘れたりなくしたりしないのが長所ですが、変更できないので漏えいすると困ります。 【別解】バイオメトリクス認証／バイオメトリクス

送信者の秘密鍵で作り、送信者の公開鍵で検証するのがポイントです。 【別解】デジタル署名／電子署名

暗号化する前の元のデータで、「ひらぶん」と読むのが一般的です。 【関連】暗号化した後のものは暗号文です。

1ビット違うだけで値が大きく変わるので、改ざんの検知に使われます。 【関連】元に戻せない性質は原像計算困難性（一方向性）と呼ばれます。

Advanced Encryption Standardの略で、DESの後継として広く使われているブロック暗号です。 【別解】Advanced Encryption Standard

考案者3人（Rivest・Shamir・Adleman）の頭文字です。暗号化にも署名にも使えます。 【別解】RSA暗号

英語ではCertification Authority（CA）です。証明書に自らの秘密鍵で署名し、内容を保証します。 【別解】CA

日本語では公開鍵基盤です。認証局・証明書・失効情報などで成り立っています。 【別解】Public Key Infrastructure／公開鍵基盤

Transport Layer Securityの略です。前身のSSLは危険とされ、現在は使われていません。 【別解】Transport Layer Security

共通鍵の速さと、公開鍵の鍵配送のしやすさを組み合わせた方式です。 【別解】ハイブリッド暗号方式

データを決まった長さのブロックごとに暗号化する方式で、AESが代表です。 【関連】1ビットや1バイトずつ処理するのはストリーム暗号です。