分野：テクノロジ系
中分類：セキュリティ
小分類：情報セキュリティ

認証する側がパスワードを平文のままデータベース等に格納している状態だと、不正アクセスを受けた際に、ログインに使えるパスワードそのものが漏えいしてしまうことになります。この状態はセキュリティ上好ましくありません。

不正アクセスを受けた際のパスワード漏えいを防ぐためには、データベース等には平文のパスワードではなくパスワードのハッシュ値を格納するようにし、入力されたパスワードのハッシュ値とデータベース上のパスワードのハッシュ値と比較して認証する方法になっていることが大切です。

ハッシュ関数は同じ値が入力されれば常に同じハッシュ値を出力する性質を持つので、認証する側では相手の本当のパスワード値を知らなくても、ハッシュ値の比較によって入力されたパスワードが正しいことを確認できます。

• 利用者IDのハッシュ値とパスワードのハッシュ値は全く異なる値になるので意味のない比較です。
• 認証にパスワードが使用されていないので不適切です。
• 正しい。パスワードのハッシュ値同士を比較することで、入力されたパスワードが正しいかどうかを確認することができます。
• 利用者IDのハッシュ値とパスワードのハッシュ値は全く異なる値になるので意味のない比較です。