Ophcrackというパスワード解析ツールがあります。これを使えば簡単（弱い）パスワードは簡単に解析されてしまいます。
このページではOphcrackの仕組みを簡単に説明し、いかに解析されない強いパスワードを設定するか解説します。
Ophcrackのダウンロード
1.Windowsのパスワード保存方法
Windows ではパスワードは2種類の方法で保存することが可能です。
・NTLMハッシュ（Windows NT ハッシュ）
・LMハッシュ（LAN Manager ハッシュ）
ハッシュとはパスワードそのものを保存するのではなく、パスワードをある方法で変換した文字列で保管する方法です。
ただしLMハッシュは簡単にパスワードが解析されてしまうため、Windows Vista以後では無効に設定されています。
（グループポリシーの「ネットワーク セキュリティ: 次回のパスワード変更時に LAN Manager のハッシュ値を保存しない」です。Windows Vista以後では「有効」に設定されているため、この形式では保存されません。)参考：グループポリシエディタの使用方法
2.攻撃方法
Ophcrackは2通りの方法で攻撃します。
(1)パスワードハッシュファイルへの辞書攻撃
あらかじめ Ophcrack が用意した英単語辞書の各言葉と保存されたパスワードハッシュを比較します。合致すればその言葉がパスワードということになります。（正確には Ophcrackは各言葉のハッシュ値を辞書として保有しています）。
(2)パスワード総あたり
パスワードの総当りを行います。これは辞書の単語という意味のある言葉ではなく、数字や英文字を組み合わせて総アタックします。また数字だけのパスワードの総アタックも行います。
3.解析されないパスワードとは
以上よりOphcrackに解析されないパスワードは以下のとおりです。
【条件１】辞書に載っている言葉は避ける。辞書に載っている言葉は数秒で解析されます。
【条件２】短いパスワードは避ける。最低でも8文字以上
【条件３】パスワードは数字、英文字、記号を必ず含める。特に記号は必ずいれること。
（注1）長くても数字だけ、英字だけのパスワードは危険です。例えば 83726356261726372 など。
（注2）Vista以後でも念のためLMハッシュ（LAN Manager ハッシュ） で保存しない設定になっていることを再確認。
スポンサード リンク