パスワードをハッシュ値として保存するシステムにおいて、レインボーテーブル攻撃を無効化する効果が最も高い対策はどれか。

なぜ ア は間違いか

ストレッチングはハッシュ計算を意図的に遅くしてブルートフォース攻撃のコストを上げる優れた対策ですが、レインボーテーブルは「すでに計算が終わっている」ものです。繰り返し回数が攻撃者に知られていれば、同じ回数で事前計算し直せるため、レインボーテーブルそのものへの対策にはなりません。

なぜ ウ は間違いか

SHA-256はMD5より衝突耐性が高く、より安全なアルゴリズムです。しかしアルゴリズムが変わっても「SHA-256のレインボーテーブル」は作成できます。問題はアルゴリズムの強度ではなく、事前計算が成立してしまう点にあります。

なぜ エ は間違いか

パスワードポリシーの強化は推測攻撃やブルートフォースへの対策として有効です。ただしレインボーテーブルは実際にユーザーが使っているパスワード（8文字以上のものも多数含む）のハッシュ値を収録しているため、文字数を増やすだけでは根本的な対策になりません。