概要\n\nパスワードクラック(Password Cracking)はハッシュ化されたパスワードから元の平文パスワードを復元する攻撃手法群で、ペネトレーションテスト・フォレンジック・サイバー犯罪の主要技法。1980年代UnixのCrypt(3)解析が起源、1996年John the Ripper・2009年Hashcat(GPU対応)登場で大衆化。2026年現在、RTX 4090でNTLM 200GH/s(2,000億回/秒)・MD5 165GH/s・bcrypt 184KH/s・Argon2 id 6.5KH/s達成、8文字英数字混在(¥85桁=2.18×10^15)は数時間で全探索可能。Have I Been Pwned(2024年130億件流出パスワードDB)との辞書攻撃で実用パスワードの90%以上が数分で破綻、12文字以上+ランダム+多要素認証(MFA)が事実上必須。\n\n## 主な特徴・仕組み\n\n- 辞書攻撃: rockyou.txt(14M件)/HIBP(13B件)等の流出DBで辞書突合、ヒット率80%超\n- ブルートフォース: 全文字組合せ試行、計算量=文字種^文字数で爆発\n- レインボーテーブル: Time-Memory Trade-off、NTLMv1等Salt無しハッシュで有効\n- Mask Attack: 部分既知情報(誕生日/会社名)で組合せ大幅削減\n- Hybrid Attack: 辞書+変換ルール(末尾年号/!@#追加)、現実的成功率高\n- GPU並列化: RTX 4090で200GH/s、CPU比1000倍速\n- Salt+Stretch: bcrypt/scrypt/Argon2で1パスワード/秒以下に減速\n- MFA必須化: パスワード単独では破綻時代、TOTP/Passkey/FIDO2必須\n\n## スペック比較表\n\n| ハッシュ | RTX 4090速度 | 8文字破綻時間 | 12文字破綻時間 | 安全性 |\n|----------|--------------|---------------|----------------|--------|\n| MD5 | 165 GH/s | 2分 | 6年 | 危険 |\n| SHA-1 | 50 GH/s | 7分 | 18年 | 危険 |\n| NTLM | 200 GH/s | 1.5分 | 5年 | 危険 |\n| SHA-256 | 21 GH/s | 17分 | 45年 | 注意 |\n| bcrypt cost=12 | 184 KH/s | 14年 | 数億年 | 安全 |\n| Argon2id | 6.5 KH/s | 392年 | 数兆年 | 強推奨 |\n| scrypt | 30 KH/s | 85年 | 数百億年 | 強推奨 |\n\n## 具体例・対応製品\n\n- Hashcat 6.2 (2024): 380+ハッシュ対応、CUDA/OpenCL/Metal、業界標準ツール\n- John the Ripper (1996-): 老舗、Jumbo版でハッシュ多数対応、CTF頻用\n- RTX 4090 (2022): $1,599、NTLM 200GH/s、現在最速個人用クラック機\n- Have I Been Pwned: 130億件流出パスワードDB、API無料\n- Hashcat rockyou.txt: 14M件辞書、デフォルト常用\n\n## 自作PCでの選び方・注意点\n\nペネトレーションテスト・CTF用クラックPCの構成例: (A)エントリー¥250,000構成: RTX 4070 Ti Super 16GB(¥130,000) + Ryzen 7 7700X(¥45,000) + 32GB、Hashcat NTLM 80GH/s、(B)プロ¥800,000構成: RTX 4090 24GB×2(¥580,000) + Threadripper 7960X(¥250,000) + 128GB、NTLM 400GH/s並列、(C)業務¥3,000,000構成: H100 80GB×4 NVLink、企業ペンテスト向け。クラック専用PCは熱密度高く360mm AIO水冷+ケースファン×6必須、消費電力2台構成で1500W+、80Plus Platinum 1600W電源(¥45,000)推奨。違法アクセス禁止法適用領域なので所有者許諾必須、CTF/Bug Bounty/自社ペンテスト限定運用。\n\n## 関連用語との違い\n\nbcrypt: 1999年提案のパスワードハッシュ関数、cost factorで意図的低速化。GPU並列化困難で184KH/s、Argon2登場まで標準。\n\nArgon2: 2015年Password Hashing Competition優勝、メモリハード設計でGPU/ASIC耐性最強。OWASP 2024年推奨。\n\n## よくある質問(FAQ)\n\nQ1: 自分のパスワード強度は?\nA: 12文字以上+大小英数+記号で2026年RTX 4090クラスでも数百年。8文字以下は数分で破綻、即変更必須。1Password/Bitwarden自動生成推奨。\n\nQ2: 量子コンピュータ で破綻?\nA: Groverアルゴリズムで√N加速、SHA-256は実質128bit強度に低下。bcrypt/Argon2はメモリハードで量子耐性継続、ECDSA署名鍵が真の脅威。\n\nQ3: 合法的に試せる場所は?\nA: HackTheBox/TryHackMe/CTFtime等の合法CTF環境、Bug Bounty(HackerOne/Bugcrowd)、自社認可ペネトレーションテスト。他者システム無断試行は犯罪。\n\n## まとめ\n\n- ハッシュから平文復元の攻撃技法群\n- RTX 4090でNTLM 200GH/s・MD5 165GH/s\n- 8文字英数字混在は数時間で全探索可能\n- bcrypt/Argon2で実質クラック不可\n- 12文字以上+MFA必須、Passkey移行推奨