Delphi/400開発ノウハウお教えします　情報を守ろう！安全性を高めたWebシステムの構築

Transcription

1 セッション No.2 Delphi/400 開発ノウハウお教えします 情報を守ろう! 安全性を高めた Web システムの構築 株式会社ミガロ. システム事業部プロジェクト推進室 小杉智昭

2 アジェンダ 1. Web アプリケーションについて 2. Web アプリケーションの安全性向上 3. 安全性を高めた基幹システムデータの公開

3 1.Web アプリケーションについて

4 C/S アプリケーションと Web アプリケーションとの違い C/S アプリケーション IBMⅰ (AS/400) Delphi/400 (Exe) ビジネスロジック ユーザーインターフェース SQL 等でデータを要求 データ抽出結果が返却 データ Web アプリケーション ブラウザ ユーザーインターフェース 処理を要求 HTMLが返却 Web サーバ Delphi/400 (Dll) ビジネスロジック Web サーバ IBMⅰ (AS/400) SQL 等でデータを要求 データ抽出結果が返却 データ

5 C/S アプリケーションと Web アプリケーションとの対比 操作性 開発生産性 実行環境 アプリケーション配布 C/S アプリケーション フォームを使用した柔軟な操作性リアルタイムな応答が可能 TForm を使用した直観的な開発コンポーネントにイベントを割り当ててビジネスロジックを作成 Windows PC に限定 GUI は Windows のみで稼働 各クライアント PC へインストールが必要更新の際も各クライアント PC へモジュールの置き換えが必要 Web アプリケーション ブラウザを前提とした操作性 HTTP リクエスト / レスポンスの繰り返し TIWFrom を使用した直観的な開発 VCL for the Web を使用することで C/S アプリケーション同様の開発手法が可能 ブラウザが稼働する PC スマートフォン等ブラウザ上で実行される為 WIndows, Linux スマートフォン等あらゆる環境で稼働 サーバ環境のみインストール更新の際は Web アプリケーションサーバ環境のモジュール置き換えのみで良い 企業環境に従来型 PC 以外のスマートフォンやタブレットの重要性が向上! Web アプリケーションへの取り組みが重要

6 Delphi/400 における Web アプリケーション開発 VCL for the Web (IntraWeb) < 開発手順 > 1. フォーム (IWForm) に VCL for the Web 用コンポーネント (IWButton 等 ) を貼り付けて プロパティの設定 2. 必要に応じてイベントハンドラを作成 3. コンパイル 4. 実行 ( テスト ) コンポーネント IWEdit IWButton IWLabel フォーム IWForm ボタンのクリックイベント OnClick C/S アプリケーション同様の手法で開発可能!

7 Webアプリケーションのパターン イントラネットアプリケーション 社内ネットワークに限定 社外秘情報を含むアプリケーションのWeb 化 販売管理システム 社内掲示板 インターネットアプリケーション 外部ネットワークに公開 情報公開により利便性が向上するアプリケーション ネットショッピング インターネットバンキング

8 イントラネットアプリケーション 外部 ( インターネット側 ) からのアクセスは不可 IBMⅰ (AS/400) Webサーバ 社内 LAN インターネット ルータ 社内利用限定のため C/S アプリケーション同様のセキュリティ考慮で Web アプリケーションが開発可能

9 インターネットアプリケーション 外部 ( インターネット側 ) からのアクセスが可能 社内 LAN ルータ インターネット DMZ IBM ⅰ (AS/400) Web サーバ Web サーバが公開されるため 外部からの不正アクセス等セキュリティの確保が必要

10 外部公開用サーバの構成 DMZ( 非武装地帯 ) ネットワーク上でファイアウォールによって包囲された 外部からも内部からも隔てられた特殊な領域のこと 外部からの可視範囲 社内 LAN FW DMZ FW インターネット IBM ⅰ Web サーバメールサーバ 社内での管理範囲

11 2.Web アプリケーションの安全性向上

12 Web サーバの公開による脅威について サーバの乗っ取り OS のセキュリテイホールをついてサーバへ侵入する サーバ OS に対する最新セキュリティパッチの適用 ファイアウォール等による通信ポートの制御 公開に不要なサービスの停止 データの漏えい 不正にサーバにアクセスし データを盗み出す Web アプリケーションの脆弱性対策の適用 Web アプリケーション開発では脆弱性に対する考慮が必要!

13 Web アプリケーションの脆弱性 SQL インジェクション アプリケーションのセキュリティ上の不備を意図的に利用し アプリケーションが想定しない SQL 文を実行させることにより データベースシステムを不正に 社内 LAN 操作する攻撃方法 データベース Web サーバ 想定外の SQL を発行 インターネット 不正な文字列を投入 想定外のデータを返却 手法は古くから存在し 2005 年頃大手サイトで被害が多発 近年においても被害が発生 ソニーグループ個人情報漏洩問題 (2011 年 )

14 SQL インジェクションの例 ユーザーマスター (MCERTP) RTUSER ( ユーザー ID) RTPSWD ( パスワード ) KOSUGI PASSWORD OZAKI OZAKIKOJI YOSHIWARA RAD YAMADA TARO 次の SQL を実行し 対象レコードが存在した場合ログオン OK とする SELECT * FROM MCERTP WHERE RTUSER = [ 画面入力ユーザー ID] AND RTPSWD = [ 画面入力パスワード ]

15 SQL インジェクションの例 想定された動作の場合 ユーザー ID/ パスワードが正しい場合 ユーザー ID/ パスワードが誤りの場合

16 SQL インジェクションの例 想定外の動作 ユーザー ID/ パスワードが誤りにもかかわらず ログオンできてしまう 不正な文字列を投入 ユーザー ID/ パスワードが不明であっても システムにログオンできてしまう危険性 ( 脆弱性 ) がある

17 SQL インジェクションの例 procedure TfrmLogon.btnLogonClick(Sender: TObject); var ssqlstr: String; // SQL 文字列 begin //SQL 文字列の作成 ssqlstr := 'SELECT * FROM MCERTP ' + 'WHERE RTUSER = ''' + edtuserid.text + ''' ' + 'AND RTPSWD = ''' + edtpassword.text + ''' '; ~( 以下省略 )~ 不正な文字列をセットした SQL 文 ( 入力文字列は下線部分 ) 画面で入力された文字列を SQL 文字列にセット 文字列項目のため 前後に引用符を使用 SELECT * FROM MCERTP WHERE RTUSER = OZAKI AND RTPSWD = OR A = A 偽 (False) 真 (True) OR( 論理和 ) であるため 常に処理結果が真 (True) となってしまう!

18 SQL インジェクションの対策 入力文字列の妥当性チェックを強化 ; % 等の文字列に対しエスケープを考慮する パラメータクエリーの活用 SQL 文のパラメータを使用することで 特殊文字を含んでも確実に一つの文字列として処理可能にする パラメータ (ParamByName 等 ) の使用 SQL を使用する場合 パラメータクエリーで処理を行う!

19 SQL インジェクションの対策例 procedure TfrmLogon.btnLogonClick(Sender: TObject); var ssqlstr: String; // SQL 文字列 begin //SQL 文字列の作成 ssqlstr := 'SELECT * FROM MCERTP ' + WHERE RTUSER = :USERID // <-- パラメータ名 :USERID + AND RTPSWD = :PSWD ; // <-- パラメータ名 :PSWD qrylogon.sql.text := ssqlstr; // パラメータのセット qrylogon.parambyname('userid').asansistring := edtuserid.text; qrylogon.parambyname('pswd').asansistring := edtpassword.text; ~( 以下省略 )~ 画面で入力された文字列をパラメータにセット 画面入力値は 確実に一つの値として処理されるため 正しく動作する

20 SQL インジェクションの対策例 対策後のアプリケーション 不正な文字列を投入 特殊文字が含まれていても 一つの値として処理されるため 想定どおりの結果を返す

21 3. 安全性を高めた基幹システム データの公開

22 Delphi/400 を使用した Web アプリケーション Web サーバアプリケーションから IBMⅰ(AS/400) にアクセス DMZ 領域から社内 LAN 向きに Delphi/400 用ポートを解放することで IBMⅰ にアクセスする Web アプリケーションが構築可能 社内 LAN IBMⅰ (AS/400) DMZ Web サーバ Delphi/400 (Dll) インターネット サービス提供時間 Web サイトを 24 時間オープンさせるには IBMⅰ を 24 時間稼働させなければならない

23 Web 用 DB サーバとの連携 社内 LAN DMZ DB Web 用 DBサーバ (SQLServer ) Webサーバ IBMⅰ が停止しても Web サイトが 24 時間稼働可能 インターネット IBMⅰ (AS/400) Web アプリケーションに必要な情報のみデータを連携 Web 用 DB サーバを利用することにより 24 時間運用が可能 Web 用 DB サーバを用意すれば IBMⅰ(AS/400) はバックアップ等で停止しても Web サイトを 24 時間稼働させられる 仮に DB サーバへの不正アクセスがあったとしても 被害対象となるデータが Web 公開分のみに限定される

24 データ連携の仕組み Web 用 DB サーバへのデータ受渡し IBM ⅰ (AS/400) 基幹側データ更新プログラム DB Web 用 DB サーバ (SQLServer ) ワークファイル Web サーバ FTP サーバ 1 CSV ファイル作成 CSV 3 CSV ファイルを元に DB へ更新 CSV 2 FTP で CSV ファイルを転送

25 1 IBMⅰ(AS/400) 上でのCSVファイル作成 CPYTOIMPFコマンド コピー元ファイルからインポート ファイルにデータをコピー ( 例 ) コピー元物理ファイル : D4TECLIB/MTANTP ( 担当者マスタ ) コピー先 CSVファイル : QIBM/USERDATA/MTANTP.CSV (IFS 上 ) D4TECLIB MTANTP (IFS) QIBM/USERDATA/ MTANTP.CSV

26 2 IBMⅰ(AS/400) から FTP 転送 (PUT) FTP コマンド 指定した FTP サーバにデータを転送 FTP 実行コマンドを INPUT ファイルに登録 INPUT : FTP 実行コマンド (TXT) OUTPUT: FTP 実行ログ (TXT) FTP ユーザー / パスワード /QIBM/USERDATA にある MTANTP.CSV を FTP サーバに転送

27 2 IBMⅰ(AS/400) から FTP 転送 (PUT) FTP コマンド FTP RMTSYS( [ 接続先 FTP サーバ ] ) FTP ログファイルのクリア INPUT/OUTPUT ファイルの指定 FTP 実行

28 ( 実演 )CSV ファイル作成から FTP 転送までの実行 IBM ⅰ (AS/400) FTP サーバ D4TECLIB FTP MTANTP

29 3 CSVファイルからDBを更新 CGIプログラム (Delphi) CSV ファイルを読み取り DB サーバ上のテーブルを更新 ( 例 ) 元 CSVファイル : MTANTP.CSV ( 担当者マスタ CSVファイル ) 更新先 DB : MTANTP.db (Paradox) MTANTP.CSV MTANTP.db WebBroker 概要 HTTP リクエスト PathInfo ( 処理の振分け ) Web アクション項目 Delphi(CGI) - WebBroker OnAction イベント HTTP レスポンス Reposnse (HTML) Web アクション項目 Web アクション項目 Web サーバ

30 CGI プログラム ( ご参考 ) 処理結果 (HTML) <HTML> <HEAD><TITLE>DataConv</TITLE></HEAD> <BODY>SUCCESS</BODY> </HTML> レスポンスに返すデータ種類 (HTML ファイル ) CSV ファイルを文字列リストに読み込む

31 文字列リストを行ごとに読み取り データセットにレコードを追加 処理に使用した CSV ファイルを削除 正常終了時 ステータスコード =200 (Success) を返却 例外発生時 HTML の BODY 部にエラーメッセージをセット

32 ( 実演 )CGI プログラムの実行 DataConv.exe (CGI) 受け取った HTML 文書が出力 CSV 内容が DB にセット

33 なぜ CGI プログラムか? 社内 LAN DMZ IBMⅰ (AS/400) HTTP Port:80 FTP Port:21 Web サーバ HTTP Port:80 インターネット その他 その他 社内での管理範囲 社内側から DMZ 領域へのアクセスにおいても安全性が確保可能 CGI プログラムは HTTP プロトコルでの通信となるため 不要なポートを開ける必要がなくなる

34 IBMⅰ 更新データと DB サーバとの同期 IBMⅰ (AS/400) 基幹側データ更新プログラム 1 CPYTOIMPF ワークファイル IBMⅰ 側から CGI を呼び出しできれば 基幹の DB 更新と同時に Web 用 DB サーバへ同期が可能となる 2 FTP CSV Web サーバ FTP サーバ CGI 呼び出し 3 CGI DB DB サーバ IBMⅰ 上から CGI プログラムを直接 CALL できないか?

35 IBMⅰ から CGI プログラムの呼び出し HTTP API を使用 IBMⅰ 上で動作する HTTP クライアント HTTPAPI ( オープンソース ) HTTP リクエストを行う

36 ( 実演 ) IBMⅰ から CGI 呼び出しプログラムの実行 IBMⅰ (AS/400) Web サーバ DataConv.exe (CGI) CSV 内容が DB にセット

37 まとめ

38 まとめ 1. Web アプリケーションについて C/S アプリケーションと Web アプリケーションとの違い イントラネットとインターネットについて 2. Web アプリケーションの安全性向上 Web アプリケーションにおける脆弱性対策 SQL インジェクション対策手法 3. 安全性を高めた基幹システムのデータ公開 IBMⅰ と Web 用 DB サーバとの連携手法 CSV ファイル作成 FTP 転送 CGI プログラムの呼び出し