LMハッシュ（LanMan、LAN Managerハッシュとも）は、もともとLAN ManagerやWindows NT以前のWindowsでパスワードを保存するために使われていたハッシュ関数であるが、後述のように、すでに破られている。過去のLAN Managerへの後方互換性を図るため、LMハッシュはのちのWindowsでも生成されていたが、マイクロソフト自身がこのハッシュ生成をオフにするよう管理者へ推奨している。そして、Windows Vistaではデフォルトでオフとなるに至ったが、サードパーティー製のCIFS実装の中には、未だにLMハッシュを使うものが存在する。

LMハッシュの計算方法は次のようになっている^[1][2]。

1. パスワードは最長14文字に規制される^{[注 1]}。
2. パスワードの小文字を大文字に変換する。
3. パスワードをOEMコードページとして解釈する^[3]。
4. 14バイトに足りない分をヌル文字でパディングする^[4]。
5. 14バイトの長さになったパスワードを前後7バイトずつに分ける。
6. それぞれの片割れ（7バイト = 56ビット）をDESの鍵として使えるように、7ビットごとに区切り、区切った1つ1つの最上位に0のビットを1ビット追加して（例えば、1010100を01010100とする）64ビットの長さに変換する。なお、DESの実質の鍵長は56ビットであるが、パリティビットである8ビットを加えた64ビットの形でやりとりされる。この過程で挿入したビットは、そのパリティビットの位置に当たり、DESの計算には使われない。
7. 生成した鍵でASCII文字列の「KGS!@#$%」^{[注 2]}を暗号化する。DESの暗号利用モードはECBモードとし、パディングモードはNONEとする。
8. こうして得られた2つの暗号文字列をつなげた16バイトの値がLMハッシュとなる。

LMハッシュは、標準化されたブロック暗号であるDESを使ってはいるものの、設計段階でいくつもの脆弱性を抱えた実装であり、元のパスワードを決定可能となってしまっている^[5]。まず、パスワードが最長14文字に制限されているため、ASCIIの印字可能文字が95文字しかないことを考えれば、鍵空間は${\displaystyle 95^{14}\approx 2^{92}}$ に限られる。

そして、7文字以上のパスワードは半分に分けてそれぞれをハッシュ化するため、7文字ごとに解析することができるという脆弱性がある。パスワード7文字が取りうる組み合わせは${\displaystyle 95^{7}\approx 2^{46}}$しかなく、 14文字を一気に解析するのと比べてはるかに少なくなる。英数字のみのパスワードであれば、通常のデスクトップパソコンでも、数時間程度で総当り攻撃により元のパスワードを得ることができる。 さらに言えば、ハッシュを取る前に小文字は大文字となっているので、7文字分の鍵空間は${\displaystyle 69^{7}\approx 2^{43}}$まで減ることとなる。

また、LMハッシュにはハッシュ値の事前計算を防ぐためのソルト (暗号)が使われていない。そのため、レインボーテーブルのような、時間と空間のトレードオフを利用した攻撃が成立する。 さらに、7文字以下のパスワードを使った場合、後半7バイトはすべてヌル文字で埋められ、0xAAD3B435B51404EEという決まった値を生成するので、短いパスワードを簡単に判別できる。 2003年には、Ophcrackという、レインボーテーブルを使ったツールが登場し、事前に計算したデータにより、英数字のみのパスワードを数秒で破れるようになっている。 他にもRainbowCrack（英語版）、L0phtCrack（英語版）、Cain（英語版）といった攻撃ツールがあり、LMハッシュは簡単に破れるようになってしまっている。

LMハッシュの使い方にも問題があり、パスワードの代わりにハッシュをそのまま送ることで認証を突破可能となる。

LMハッシュの生成方法、そして認証方法に由来する脆弱性へ対応するために、マイクロソフトでは1993年のWindows NT 3.1でNTLMv1プロトコルを導入した。 NTLMのハッシュではUnicodeに対応し、LMhash=DESeach(DOSCHARSET(UPPERCASE(password)), "KGS!@#$%")という計算法から、NThash=MD4(UTF-16-LE(password))として、 さらには解析を容易にするパディングや長さ制限は廃止している。ただし、認証ステップでは56ビットの強度しかないDESが依然として使われていたほか、ソルトも施されないままであった。 さらに、NTLMの導入後もLMハッシュによる認証がデフォルトで有効となったままの期間が続き、セキュリティは向上しないままであった。パスワードの長さに管理者が最低ラインを設けられる様になるまでにも時間がかかった。

のちのWindowsではケルベロス認証を取り入れたNTLMv2が実装され、LAN Managerが時代遅れとなっても、Windows Vista・Windows Server 2008より前のWindowsではLAN ManagerやWindows Me以前、そしてNetBIOSを利用するアプリケーションの後方互換性のためにLMハッシュはデフォルトで生成されていた。そのため、特に必要がなければLM認証やNTLM認証をオフにすることが推奨されてきた^[6]。

Windows VistaやWindows Server 2008以降では、デフォルトでLMハッシュを生成しなくなったが、アカウントごとのセキュリティポリシーや、Active Directoryのグループポリシーで有効にすることもできる。同じ設定を、Windows XP以前のWindows NT系システムでLMハッシュを無効にするのに使うこともできる^[6]。この他にも、LMハッシュを生成できない15文字以上のパスワードを設定するという対策法もある^[4]。

サードパーティーによるCIFS実装では、LMハッシュを置き換える新しいプロトコルの実装に長い時間がかかっている。とりわけ、オープンソースのソフトウェアの場合、 新しいプロトコルの実装のためにリバースエンジニアリングが必要となるため、例えばNTLMv2の実装にSambaでは5年、JCIFSでは10年を費やしている。

• パスワードクラック
• 辞書攻撃

英語版ウィキブックスに本記事に関連した解説書・教科書があります。

Reverse Engineering/Cracking Windows XP Passwords

• Making a Faster Cryptanalytic Time-Memory Trade-Off, Philippe Oechslin, Advances in Cryptology - CRYPTO 2003
• Ophcrack, the time-memory-trade-off-cracker
• Cain and Abel
• A L0phtCrack Technical Rant from Mudge considering LM Hash implementation

表 話 編 歴 暗号学的ハッシュ関数とメッセージ認証コード セキュリティ要約（英語版） 一般的関数 MD5 SHA-1 SHA-2 SHA-3/Keccak SHA-3最終候補（英語版） BLAKE Grøstl（英語版） JH（英語版） Skein（英語版） Keccak (勝者) その他の関数 FSB（英語版） ECOH（英語版） GOST（英語版） HAS-160（英語版） HAVAL（英語版） Kupyna（英語版） LMハッシュ MDC-2（英語版） MD2 MD4 MD6（英語版） N-Hash（英語版） RadioGatún RIPEMD SipHash（英語版） Snefru（英語版） Streebog（英語版） SWIFFT（英語版） Tiger（英語版） VSH（英語版） WHIRLPOOL crypt(3)（英語版） (DES) MACアルゴリズム DAA（英語版） CBC-MAC HMAC OMAC（英語版）/CMAC PMAC（英語版） VMAC（英語版） UMAC（英語版） Poly1305 認証付き暗号モード CCM CWC（英語版） EAX（英語版） GCM IAPM（英語版） OCB（英語版） 攻撃 衝突攻撃（英語版） 原像攻撃 誕生日攻撃 総当たり攻撃 レインボーテーブル サイドチャネル攻撃 伸長攻撃（英語版） 差分解読法 設計 アバランシェ効果（英語版） ハッシュ衝突 Merkle–Damgård構成法（英語版） 標準化 CRYPTREC NESSIE NISTハッシュ関数コンベンション（英語版） NSA Suite B（英語版） CNSA 利用 ソルト ペッパー ストレッチング (暗号)（英語版） メッセージ認証（英語版） パスワードハッシュ関数 Argon2 bcrypt PBKDF2 scrypt yescrypt Catena（英語版） Lyra2（英語版） Makwa（英語版） Balloon（英語版） crypt（英語版） カテゴリ：ハッシュ関数・メッセージ認証コード・認証付き暗号

表 話 編 歴 暗号 暗号史 暗号解読 Cryptography portal en:Outline of cryptography 共通鍵暗号 ブロック暗号 ストリーム暗号 暗号利用モード 公開鍵暗号 暗号学的ハッシュ関数 メッセージ認証コード 認証付き暗号 乱数生成器 ステガノグラフィー

カテゴリ