パスワードクラッキング

高木さんにネタフリいただいたので（ネタフリじゃないのかな（笑））またまた反応してみます。
あちきがもともとの「総当たりで破られるようなパスワードを設定してるのが悪い」というフレーズに違和感をおぼえたのは、ただ単に「総当たり」といっているだけだと、総当たりで組み合わせて試行されたら結局破られてしまうのでパスワードそのものがマズイじゃん、という単純な考えにそのまま直結してしまうだけなのでは？と思ったからでした。だからこのフレーズに関してイジりたかったのは、あちきなら「総当たり試行の初期に探り当てられてしまうような、弱いパスワードを設定しているのが悪い」というふうに書くかなあ、というところですね。上記のフレーズからはその感触が伝わってないんじゃないかな、という気がしたので、伝わらないよーということでツッコミを入れたわけですね。
ちなみにあちきの敗因はまさに同じような原因で（笑）、「たんに「総当たり」とか言ってるだけだと、伝わらないよー」というツッコミ意図が、あちきのフレーズからは読み取れなかったということですね。まさにあちき自身も「伝わってないヨー」だったわけで、いやー人のこと言えませんねまったく。
もひとつちなみに、Windowsパスワードの例なのでちょっとニュアンスは異なりますが、パスワードへの組み合わせ攻撃に関しては蔵出しでも触れていますので、良かったらお読み下され。
http://blog.nikkeibp.co.jp/pconline/security/2007/01/sonoda009.html
http://blog.nikkeibp.co.jp/pconline/security/2007/01/sonoda010.html
SSHのセキュリティ対策については、臆面もなく宣伝しちゃうとｗ

実用SSH 第2版―セキュアシェル徹底活用ガイド

をご覧頂きたいと思いますが、監訳の小島さんのサポートページにもいろんな情報があったりします。
はてなで SSH 経由の侵入事件が発生したそうです (2007.03.19)
パスワードクラックへの対抗策も、サーバーの設定で試行回数などのパラメタを操作するだけでも、アクセスの効率を下げられますから効果があると思いますが、スクリプトを使ってツール攻撃を弾き飛ばす方法もあります。
SSH パスワード認証に対する総当たり攻撃への対抗ツール (2006.11.29)
つまり、はてなは残念ながらこういう対策を行っていなかったのか、あるいは試行回数がものすごく少なくて済むようなパスワードを設定していた、ということになりますね。まあ正直なところ、どちらにしてもしょぼいとしか言いようがありませんけど、それよりも問題はポリシーがあるのに違反してた、ということだと思いますね。ポリシーはそもそも、こういうしょぼい事態に陥らないようにするために設定されるルールですからねえ。そこを最後の砦とするなら、ポリシー違反を検出できるような手立ても必要かなあと思ったりしてますです。
もういっこだけ追記。ISSさんのWeeklyレポートによれば、SSHのパスワードに対する攻撃って、実はかなりのおやくそくパスワードベースが多い、という情報がありますね。関連で、安易なパスワード : Worsd Wide Webという情報もありますが、みんなもうちょっと考えたパスワードにしようよ（苦笑）、ということかなあ。