レインボーテーブルとは

レインボーテーブルとは

レインボーテーブルは、パスワードとそのハッシュ値の対応を事前に大量計算してまとめた巨大な参照表だよ。攻撃者はこの表を使うと、ハッシュ値を見ただけで元のパスワードを高速に特定できてしまうんだ。

どうやって機能するの?

通常のブルートフォース攻撃は攻撃時にリアルタイムで計算するけど、レインボーテーブルは攻撃の「事前準備」に計算を済ませておく。攻撃時は表を検索するだけなので、計算時間がほぼゼロになる。

名前の由来は「チェーン」と「リダクション関数」を組み合わせた特殊な圧縮手法で、メモリと計算時間のトレードオフを最適化した構造が虹(Rainbow)のように見えることから名付けられたよ。

現実の脅威

インターネット上にはSHA-1、MD5、SHA-256などのレインボーテーブルが無料で公開されていて、12文字以下の英数字パスワードなら数秒で逆引きできてしまうケースもある。

ソルトがレインボーテーブルを無効化する

ソルトを使うと、同じパスワードでもユーザーごとに異なるハッシュ値になる。攻撃者はすべてのソルトを含むレインボーテーブルを事前計算する必要があり、これは現実的に不可能になるんだ。現代のパスワードハッシュ(bcrypt・Argon2・PBKDF2)はすべてソルトを内包しているので、レインボーテーブル攻撃は実質的に無効化されてるよ。