近年、特にパスワード情報を狙った攻撃が問題になっています。その代表的な手法の一つが「レインボーテーブル攻撃」です。この記事では、レインボーテーブル攻撃の仕組みから、その危険性、そして有効な対策について、セキュリティ担当者や開発者向けに分かりやすく解説します。
レインボーテーブル攻撃とは？
レインボーテーブル攻撃とは、事前に計算された「パスワードとハッシュ値の対応表（レインボーテーブル）」を使い、漏えいしたハッシュ値から元のパスワードを高速に特定しようとするサイバー攻撃です。「レインボーテーブル」という名前は、複数の変換処理を組み合わせて効率よくデータを探索できる仕組みを、虹（レインボー）のように連なる構造になぞらえたことに由来しています。攻撃者はこの仕組みを利用して、あらかじめ大量の対応関係をまとめた表を用意し、それを使ってパスワードの特定を試みます。
レインボーテーブル攻撃の仕組みと特徴
レインボーテーブルとは何か
レインボーテーブルとは、あらかじめ大量のパスワード候補を機械的に生成し、それぞれをハッシュ化した結果と組み合わせてまとめた「対応表」のことです。ここでいうパスワード候補とは、よく使われがちな文字列や辞書の単語、一定のルールに従って自動生成された文字列などを指します。
攻撃者は、これらの候補を事前にすべてハッシュ化し、「元の文字列」と「それをハッシュ化した結果」の対応関係を一覧として整理しておきます。
この対応表が、レインボーテーブルと呼ばれるものです。
この攻撃の前提や具体的な仕組みを理解するために、まずは「ハッシュ化」という考え方について整理しておきましょう。
ハッシュ化とは何か
多くのWebサービスや業務システムでは、ユーザーのパスワードを平文（暗号化しないそのままの文字列）で保管せず、一定のルールに従ってパスワードを変換し、「ハッシュ値」という形にしてデータベースに保存します。利用者（ユーザー）がログインする際は、利用者は自分のパスワードをログイン画面に入力します。Webサービス側のシステムは、その入力内容をあらかじめ決められた方法でハッシュ化し、保存されているハッシュ値と一致するかどうかを確認します。つまり、システム側は元のパスワードそのものを保持しておらず、「正しいかどうか」を照合によって判断している、という仕組みです。
ハッシュ化の特徴
ハッシュ化の大きな特徴は、一度変換すると、元の文字列に戻せない設計になっている点にあります。これにより、万が一データベースが外部に流出してしまっても、そこに記録されているのは意味のあるパスワードそのものではなく、変換後の文字列だけ、という状態になります。
結果として、平文のまま保存する場合に比べて、情報漏えい時のリスクを抑えることができます。
このように、パスワードをハッシュ化して保存する考え方は、情報セキュリティの基本的な対策のひとつであり、IPA（情報処理推進機構）やNIST（米国国立標準技術研究所）などの公的機関のガイドラインでも、パスワードを平文のまま保存しないことが原則として示されています。
【関連記事】IPA「鍵管理における推奨事項（NIST Special Publication 800-57 Part 1 Revision 5）」
ハッシュ値と照合してパスワードを特定する流れ
ハッシュ化の仕組みそのものを考えると、通常、ハッシュ化された値から元のパスワードを直接計算して求めることはできません。ハッシュ値は元の文字列に戻せないように設計されているため、ハッシュ値だけを見ても、そこから元のパスワードを逆算することはできないのが本来の前提です。
しかし、あらかじめ多くの候補について「変換前」と「変換後」の組み合わせを用意したレインボーテーブルがあれば、話は変わります。
Webサービスや企業のシステムからパスワードのデータベースが流出した場合、攻撃者が入手できるのは通常、ハッシュ値の一覧です。
攻撃者は、この流出したハッシュ値を、自分が事前に作成しておいたレインボーテーブルと照合します。
もし対応表の中に同じハッシュ値が見つかれば、その行に対応する元の文字列が、実際のパスワードである可能性が高いと判断できます。
このように、レインボーテーブル攻撃では、ハッシュ値そのものを逆算するのではなく、事前に作成した対応表の中から一致するものを探し出すことで、元のパスワードを特定していきます。
短時間で大量のパスワードが特定される理由
レインボーテーブル攻撃の大きな特徴は、パスワードの特定が非常に高速に行える点にあります。通常、パスワードを解読しようとすると、一つひとつ候補を試して計算する必要があり、多くの時間と計算量がかかります。
一方、レインボーテーブル攻撃では、あらかじめ大量のパスワード候補とハッシュ値の対応関係が表としてまとめられています。
そのため、実際の攻撃時には、流出したハッシュ値をこの表と照らし合わせるだけで済みます。
この仕組みにより、個々のパスワードについて複雑な計算を繰り返す必要がなくなり、短時間のうちに多数のパスワードをまとめて特定できてしまいます。
この性質により、大規模な情報漏えいが起きた場合には、被害が一気に拡大しやすい点が大きな問題になります。
他のパスワード攻撃との違い
パスワードを狙った攻撃には、レインボーテーブル攻撃のほかにもいくつか代表的な手法があります。ここでは、よく知られている「ブルートフォース攻撃（総当たり攻撃）」と「辞書攻撃」「パスワードリスト攻撃」と比較し、それぞれの違いを整理します。
他のパスワード攻撃との比較表
| 攻撃手法 | 攻撃の前提 | 主なやり方 | 特徴 | 成功時の影響 |
|---|---|---|---|---|
| ブルートフォース攻撃（総当たり） | パスワード不明 | 全組み合わせを順に試す | 準備不要／長いほど現実的でない | 成功すればアカウント侵入 |
| 辞書攻撃 | 候補リストあり | よく使われる候補を試す | 効率的／複雑なPWに弱い | 成功すればアカウント侵入 |
| パスワードリスト攻撃 | ID・PWの漏えいリスト入手済み | 他サービスでログイン試行 | 解析不要／使い回しに依存 | 複数サービスで被害連鎖 |
| レインボーテーブル攻撃 | ハッシュ値を入手済み | 対応表と照合して特定 | 準備は重いが解析は高速 | 大量のPWが一気に特定 |
ブルートフォース攻撃との違い
ブルートフォース攻撃は、考えられるすべての文字の組み合わせを順番に試し、正しいパスワードにたどり着くまで試行を繰り返す攻撃手法で、日本語では「総当たり攻撃」とも呼ばれます。理論的にありうるパターン全てを入力していく手法のため事前に特別な準備が不要である一方、パスワードが長く複雑になるほど試行回数が膨大になり、解読には多くの時間と計算資源が必要になります。
これに対して、レインボーテーブル攻撃は、あらかじめ大量のパスワード候補とハッシュ値の対応関係を計算し、対応表として用意しておく点が大きな違いです。
実際の攻撃では、その場で一つひとつ計算を行うのではなく、流出したハッシュ値を対応表と照合するだけで済むため、パスワードの特定を短時間で行える可能性があります。
つまり、ブルートフォース攻撃が「その場で総当たりを試す攻撃」であるのに対し、レインボーテーブル攻撃は「事前に計算した結果を参照する攻撃」である点が、両者の大きな違いといえます。
辞書攻撃との違い
辞書攻撃はサービスに対してログインを試行する形で行われることが多いのに対し、レインボーテーブル攻撃は、データベース流出後にハッシュ値を手元で解析する形で行われるのが一般的です。辞書攻撃は、辞書に載っている単語や、よく使われがちなパスワードのリストを用意し、それらを順番に試してログインを試みる攻撃手法です。
ブルートフォース攻撃よりも試行する候補を絞り込めるため、効率的にパスワードを推測できる場合がありますが、リストに含まれていない複雑なパスワードには対応できません。
一方、レインボーテーブル攻撃は、あらかじめ用意した多数のパスワード候補をハッシュ化し、その結果を対応表として保持している点が特徴です。
そのため、実際の攻撃では、ハッシュ値と対応表を照合することで、候補に含まれているパスワードであれば、比較的短時間で特定できる可能性があります。
辞書攻撃が「よく使われるパスワードを順番に試す方法」であるのに対し、レインボーテーブル攻撃は「事前に計算された対応表を使って照合する方法」である点が、両者の大きな違いです。
パスワードリスト攻撃との違い
パスワードリスト攻撃は、すでにどこかのサービスから漏えいした「IDとパスワードの組み合わせのリスト」を使い、別のサービスでも同じ情報でログインを試みる攻撃手法です。利用者が複数のサービスで同じパスワードを使い回していることを前提に、不正ログインを狙う点が特徴です。
この攻撃では、攻撃者はすでに「平文のパスワード」を入手しているため、ハッシュ値を解析したり、元のパスワードを推測したりする必要はありません。
そのままログイン画面にIDとパスワードを入力して試行するだけでよく、成功すれば即座にアカウントを乗っ取ることが可能になります。
一方、レインボーテーブル攻撃は、データベースなどから流出した「ハッシュ値」から元のパスワードを特定することを目的とした攻撃です。
事前に作成した対応表を使ってハッシュ値を照合し、元のパスワードを割り出す点に特徴があります。
つまり、パスワードリスト攻撃が「すでに判明しているパスワードでログインを試す攻撃」であるのに対し、レインボーテーブル攻撃は「ハッシュ値からパスワードそのものを特定しようとする攻撃」である点が、両者の本質的な違いといえます。
関連記事：パスワードリスト攻撃とは？攻撃の脅威とセキュリティ対策｜種類別の解説と企業が取るべき防御策
レインボーテーブル攻撃への有効な対策
レインボーテーブル攻撃は強力な手法ですが、ウェブサービスやECサイトを運営するにあたりシステム側で適切な対策を講じることで、そのリスクを大幅に低減させることができます。ここでは、レインボーテーブル攻撃への対策として特に重要な4つのポイントを解説します。
対策1：ソルト（Salt）を追加してハッシュ化する
最も効果的な対策の一つが「ソルト」の利用です。ソルトとは、パスワードをハッシュ化する前に付加する、ユーザーごとに異なるランダムな文字列のことです。
パスワードにソルトを加えてからハッシュ化すると、たとえ同じパスワードであっても、ユーザーごとに生成されるハッシュ値はまったく異なるものになります。
これにより、攻撃者が事前に用意したレインボーテーブルをそのまま使い回すことができなくなり、レインボーテーブル攻撃は事実上成立しなくなります。
なお、ソルト以外にも「ペッパー（Pepper）」と呼ばれる手法がありますが、本記事では詳細な説明は割愛します。 https://ja.wikipedia.org/wiki/%E3%83%9A%E3%83%83%E3%83%91%E3%83%BC_(%E6%9A%97%E5%8F%B7)
対策2：ストレッチング（Stretching）で解読時間を稼ぐ
ストレッチングとは、ハッシュ化の処理を意図的に何千回、何万回と繰り返し実行する手法です。ストレッチングを適用すると1回のハッシュ計算が重くなるため、大量の候補を試す攻撃では計算コストが積み重なります。したがって、解読には膨大な時間と計算資源を要するため、攻撃者にとって大きな負担をかけることができます。
一方で、正規のユーザーがログインする際の処理時間への影響はごくわずかに抑えられるため、利便性を大きく損なうことなく、セキュリティ強度だけを高められる点が特徴です。
また、ソルトとストレッチングを組み合わせることで、パスワードの保護強度はさらに高まります。
対策3：多要素認証（MFA）を導入する
多要素認証（MFA）は、パスワードに加えて、スマートフォンアプリへの通知やSMSで送られる確認コードなど、複数の要素を組み合わせて本人確認を行う仕組みです。万が一、レインボーテーブル攻撃などによってパスワードが特定されてしまっても、攻撃者は第二の認証要素を突破できないため、不正ログインを防ぐことができます。
これはレインボーテーブル攻撃に限らず、多くのパスワード関連攻撃に対して有効な対策です。
関連記事：多要素認証（MFA）とは？2FA・2ステップ認証との違いと導入の基本ガイド
対策4：パスワードポリシーを策定・運用する
システム側で、ユーザーが設定するパスワードの強度や運用ルールを明確に定め、継続的に管理していくことも重要な対策の一つです。 例えば、「最低12文字以上」「大文字・小文字・数字・記号を組み合わせる」「過去に使用したパスワードの再利用を禁止する」といったルールを設けることで、推測や解読が困難なパスワードの利用を促せます。このようなポリシーをシステム側で強制することで、利用者任せの運用になることを防ぎ、全体としてのセキュリティ水準を底上げできます。
ハッシュ化やソルトといった技術的対策とあわせて、ルールの設計と運用まで含めて管理することが、実効性のある対策につながります。
対策5：不要・休眠アカウントを定期的に整理する
WebサービスやECサイトを運営していると、長期間利用されていないアカウントや、すでに不要になっているアカウントが次第に増えていきます。こうした古いアカウントは、弱いパスワードのまま残っていたり、最新のセキュリティ対策が適用されていなかったりするケースも多く、放置しているとセキュリティ上のリスクが高まります。
攻撃者にとっては、管理が行き届いていないアカウントほど狙いやすい対象になるため、定期的にアカウントの棚卸しを行い、利用されていないものは無効化や削除を行うといった運用が重要です。
不要なアカウントを減らすことで、攻撃の入り口そのものを減らし、万が一パスワード情報が狙われた場合のリスク低減にもつながります。
ユーザー自身ができるパスワード管理
システム側の対策とあわせて、サービスを利用するユーザー自身のパスワード管理も非常に重要です。日頃の設定や運用を少し見直すだけでも、セキュリティリスクは大きく下げられます。
ここでは、特に意識しておきたい3つのポイントを紹介します。
長く複雑なパスワードを設定する
パスワードは、できるだけ長く、英大文字・小文字・数字・記号を組み合わせた複雑なものに設定することが基本です。一般に、文字数が1文字増えるだけでも、解読に必要な時間は大きく伸びるとされています。
一方で、辞書に載っている単語や誕生日、名前など、推測されやすい情報の使用は避けるべきです。
パスワードの使い回しをやめる
前述のとおり、パスワードの使い回しは被害拡大の大きな原因になります。一つのサービスから情報が漏えいした場合、同じパスワードを使っている他のサービスにも不正ログインされるおそれがあるためです。
手間はかかりますが、サービスごとに異なるパスワードを設定することが、自分の情報を守るための基本といえます。
パスワードマネージャーを活用する
サービスごとに異なる複雑なパスワードをすべて覚えて管理するのは、現実的とはいえません。その結果、覚えやすいパスワードを使い回してしまうケースも少なくないでしょう。
こうした問題を解決する手段として有効なのが、パスワードマネージャー（パスワード管理ツール）の活用です。
パスワードマネージャーを使えば、安全性の高いパスワードを自動で生成し、暗号化した状態でまとめて管理できます。
利用者はマスターパスワードを一つ管理するだけで済むため、利便性を保ちつつ、セキュリティ水準を高めることが可能になります。
まとめ
本記事では、レインボーテーブル攻撃の仕組みから危険性、そして有効な対策について解説しました。この攻撃は、ハッシュ化という基本的なパスワード保護の仕組みを逆手に取った巧妙な手法ですが、「ソルト」や「ストレッチング」といった対策を実装することで、その脅威は大幅に軽減できます。システム開発者やセキュリティ担当者は、これらの対策を正しく理解し、自社のサービスに適切に導入することが重要です。ウェブサービスやECサイトを運営するにあたり、技術的な対策を講じることは非常に重要ですが、万が一の被害発生に備える視点も欠かせません。
事故発生後の損害賠償や対応費用に備え、サイバー保険の一括見積で、補償内容を比較・検討しておくことをおすすめします。
特にWebサービス等を提供している企業は、インシデントが起こった際のリスク分散が重要となります。
また、保険会社が用意している脆弱性診断サービスも利用が可能です。
（保険会社のプラン・サービスにより異なります。詳しくはお問合せください。）
▶ サイバー保険 一括見積はこちら（無料）
当サイトを運営する「ファーストプレイス」では、
大手5社のサイバー保険の保険料を、無料で一括比較・見積りいただけます。
- 東京海上日動火災保険株式会社
- 三井住友海上火災保険株式会社
- 損害保険ジャパン株式会社
- あいおいニッセイ同和損害保険株式会社
- AIG損害保険株式会社
ECサイトやWebサービスを提供している企業様は、IT業務を提供する企業様向けの「IT業務用サイバー保険一括見積サイト」もご検討ください。
IPA：鍵管理における推奨事項（NIST Special Publication 800-57 Part 1 Revision 5）
IPA：安全なウェブサイトの作り方
Wikipedeia:パスワードクラック
Wikipedeia:レインボーテーブル
