総当たり攻撃

総当たり(ブルートフォース)攻撃は、候補空間を試行で潰し込む手法です。オンライン版は認証エンドポイントに大量の推測を送り、オフライン版は窃取済みハッシュを GPU、FPGA、レンタルクラウドで攻撃します。実現性は鍵空間のサイズ、パスワードハッシュアルゴリズム(Argon2、bcrypt、scrypt、PBKDF2)の作業係数、レートリミットやアカウントロックなどの運用統制で決まります。対策は、強くユニークな資格情報、ソルト付きの memory-hard ハッシュ、MFA、指数バックオフ、IP・端末スロットリング、WAF、認証ログの異常検知です。暗号鍵は十分な長さ(対称 256 bit、RSA 3072 bit や同等の ECC など)が必要です。