ストレッチング（stretching）とは、セキュリティ分野で特に重要な手法であり、パスワードを保護するために用いられます。
このプロセスは、パスワードを一度だけハッシュ化するのではなく、複数回にわたってハッシュ化を行うことで、攻撃者が元のパスワードを復元できないようにするものです。
本記事では、ストレッチングの定義、その重要性、方法、メリットとデメリットについて詳しく解説します。
ストレッチングの定義
ストレッチングとは？
ストレッチングは、「引き伸ばし」という意味を持つ英単語で、セキュリティの文脈では、パスワードを繰り返しハッシュ化するプロセスを指します。
この手法は、パスワードが漏洩した場合でも、攻撃者が元のパスワードを推測できないようにするために用いられます。
ユーザー認証システムにおける役割
ユーザー認証システムでは、ユーザー名やパスワード、生体情報などの秘密情報をセットで登録する必要があります。
パスワードが漏れると、攻撃者がシステムに不正アクセスする危険性があります。
ストレッチングはこのリスクを軽減する重要な手法です。
ストレッチングの方法
ハッシュ化の手法
- 初回ハッシュ化: パスワードを暗号学的ハッシュ関数で一度ハッシュ化します。
このハッシュ関数は、元のデータから固定長のデータを得るもので、元のパスワードを逆算することが難し いように設計されています。
2.繰り返しハッシュ化: 初回ハッシュ化された値を再度ハッシュ化し、さらにその結果をまたハッシュ化すると いう手順を数千回から1万回繰り返します。
このプロセスにより、攻撃者がハッシュ値を入手しても、元のパ スワードを特定するのが非常に困難になり ます。
総当たり攻撃への対策
攻撃者がハッシュ値を取得した場合、総当たり攻撃（ブルートフォース攻撃）を実行して元のパスワードを割り出すことができますが、ストレッチングを施したパスワードは、その処理回数が膨大なため、現実的には解読が難しくなります。
ストレッチングのメリットとデメリット
メリット
- セキュリティの強化: ストレッチングにより、パスワードの強度が向上し、攻撃者がハッシュ値から元のパスワードを推測するのが困難になります。
- 短いパスワードでも安心: パスワードが短い場合でも、ストレッチングを行うことで解読が難しくなります。
デメリット
- 処理時間の増加: ハッシュ化を何度も繰り返すため、ユーザー認証時にわずかに処理時間がかかることがあります。
- しかし、通常はシステムの負荷がそれほど大きくならないように設計されています。
まとめ
ストレッチングは、パスワード保護において非常に重要な手法です。
このプロセスを採用することで、攻撃者がパスワードを特定するリスクを大幅に減少させることができます。
特に、パスワードが短い場合でも、この技術を使用することで、より安全なシステムを構築することが可能です。ストレッチングを理解し、適切に活用することで、セキュリティの強化を図りましょう。
さらに参考してください。