本 書 は 以 下 の URL からダウンロードできます 安 全 なウェブサイトの 作 り 方

Transcription

1 安 全 な ウ ェ ブ サ イ ト の 作 り 方 改 訂 第 7 版 ウェブアプリケーションのセキュリティ 実 装 と ウェブサイトの 安 全 性 向 上 のための 取 り 組 み 2015 年 3 月

2 本 書 は 以 下 の URL からダウンロードできます 安 全 なウェブサイトの 作 り 方

3 目 次 目 次... 1 はじめに... 2 本 書 の 内 容 および 位 置 付 け... 3 対 象 読 者... 3 第 7 版 の 主 な 改 訂 内 容... 3 脆 弱 性 対 策 について - 根 本 的 解 決 と 保 険 的 対 策 ウェブアプリケーションのセキュリティ 実 装 SQL インジェクション OS コマンド インジェクション パス 名 パラメータの 未 チェック/ディレクトリ トラバーサル セッション 管 理 の 不 備 クロスサイト スクリプティング CSRF(クロスサイト リクエスト フォージェリ) HTTP ヘッダ インジェクション メールヘッダ インジェクション クリックジャッキング バッファオーバーフロー アクセス 制 御 や 認 可 制 御 の 欠 落 ウェブサイトの 安 全 性 向 上 のための 取 り 組 み ウェブサーバに 関 する 対 策 DNS に 関 する 対 策 ネットワーク 盗 聴 への 対 策 フィッシング 詐 欺 を 助 長 しないための 対 策 パスワードに 関 する 対 策 WAF によるウェブアプリケーションの 保 護 携 帯 ウェブ 向 けのサイトにおける 注 意 点 失 敗 例 SQL インジェクションの 例 OS コマンド インジェクションの 例 パス 名 パラメータの 未 チェックの 例 不 適 切 なセッション 管 理 の 例 クロスサイト スクリプティングの 例 CSRF(クロスサイト リクエスト フォージェリ)の 例 HTTP ヘッダ インジェクションの 例 メールヘッダ インジェクションの 例 おわりに 用 語 集 チェックリスト CWE 対 応 表 更 新 履 歴

4 はじめに はじめに インターネットでは 多 くのウェブサイトがそれぞれサービスを 提 供 しています 通 信 利 用 動 向 調 査 1 に よると 2015 年 現 在 日 本 におけるインターネットの 利 用 者 数 は 1 億 人 を 超 えると 推 定 され ウェブを 通 じた 情 報 のやり 取 りは 今 後 も 増 え 続 けることが 予 想 されます 一 方 ウェブサイトの 安 全 上 の 欠 陥 ( 脆 弱 性 )が 狙 われる 事 件 も 後 を 絶 ちません 最 近 は 営 利 目 的 の 犯 行 も 目 立 ち 悪 質 化 が 進 む 傾 向 にあります 独 立 行 政 法 人 情 報 処 理 推 進 機 構 (IPA)が 届 出 2 を 受 けたウェブサイトの 脆 弱 性 関 連 情 報 は 届 出 受 付 開 始 から 2014 年 12 月 末 時 点 で 累 計 10,655 件 となり ました 中 でも SQL インジェクション と 呼 ばれる 脆 弱 性 は ウェブサイトから 個 人 情 報 を 不 正 に 盗 まれ たり ウェブページにウイルスを 埋 め 込 まれたりするといった 事 件 における 原 因 の 一 つと 考 えられていま す ウェブサイトの 安 全 を 維 持 するためには ウェブサイトを 構 成 する 要 素 に 対 して それぞれに 適 した 対 策 を 実 施 する 必 要 があります たとえば サーバ OS やソフトウェアに 対 しては 各 ベンダが 提 供 する 情 報 を 元 に 脆 弱 性 修 正 パッチの 適 用 や 安 全 な 設 定 等 共 通 した 対 応 を 実 施 することができます しかし ウェブアプリケーション については それぞれのウェブサイトで 独 自 に 開 発 する 場 合 が 多 く セキュリテ ィ 対 策 はそれぞれのウェブアプリケーションに 対 して 個 別 に 実 施 する 必 要 があります すでに 運 用 を 開 始 しているウェブアプリケーションにセキュリティ 上 の 問 題 が 発 覚 した 場 合 設 計 レベルから 修 正 することは 難 しい 場 合 が 少 なくなく 場 あたり 的 な 対 策 で 済 まさざるをえないこともあります 対 策 は 可 能 な 限 り 根 本 的 な 解 決 策 を 開 発 段 階 で 実 装 することが 望 まれます 本 書 は IPA が 届 出 を 受 けたソフトウェア 製 品 およびウェブアプリケーションの 脆 弱 性 関 連 情 報 に 基 づ いて 特 にウェブサイトやウェブアプリケーションについて 届 出 件 数 の 多 かった 脆 弱 性 や 攻 撃 による 影 響 度 が 大 きい 脆 弱 性 を 取 り 上 げ その 根 本 的 な 解 決 策 と 保 険 的 な 対 策 を 示 しています また ウェブ サイト 全 体 の 安 全 性 を 向 上 するための 取 り 組 みや ウェブアプリケーション 開 発 者 が 陥 りやすい 失 敗 例 を 紹 介 しています 本 書 が ウェブサイトのセキュリティ 問 題 を 解 決 する 一 助 となれば 幸 いです 1 総 務 省 : 通 信 利 用 動 向 調 査 2 IPA セキュリティセンターでは 経 済 産 業 省 の 告 示 に 基 づき 脆 弱 性 情 報 に 関 する 届 出 を 受 け 付 けています 脆 弱 性 関 連 情 報 の 届 出 2

5 はじめに 本 書 の 内 容 および 位 置 付 け 本 書 は 脆 弱 性 関 連 情 報 流 通 の 基 本 枠 組 みである 情 報 セキュリティ 早 期 警 戒 パートナーシップ の 受 付 分 析 機 関 である IPA において 実 際 に 脆 弱 性 と 判 断 している 問 題 を 主 に 取 り 上 げています 本 書 は 3 章 で 構 成 しています 第 1 章 では ウェブアプリケーションのセキュリティ 実 装 として SQL インジェクション OS コマンド インジェクションやクロスサイト スクリプティング 等 11 種 類 の 脆 弱 性 を 取 り 上 げ それぞれの 脆 弱 性 で 発 生 しうる 脅 威 や 特 に 注 意 が 必 要 なウェブサイトの 特 徴 等 を 解 説 し 脆 弱 性 の 原 因 そのものをなくす 根 本 的 な 解 決 策 攻 撃 による 影 響 の 低 減 を 期 待 できる 対 策 を 示 しています 第 2 章 では ウェブサイトの 安 全 性 向 上 のための 取 り 組 み として ウェブサーバのセキュリティ 対 策 やフィッシング 詐 欺 を 助 長 しないための 対 策 等 7 つの 項 目 を 取 り 上 げ 主 に 運 用 面 からウェブサイト 全 体 の 安 全 性 を 向 上 させるための 方 策 を 示 しています 第 3 章 では 失 敗 例 として 第 1 章 で 取 り 上 げた 脆 弱 性 の 中 から 8 種 類 を 取 り 上 げ ウェブアプリケ ーションに 脆 弱 性 を 作 り 込 んでしまった 際 のソースコード その 解 説 修 正 例 を 示 しています 巻 末 には ウェブアプリケーションのセキュリティ 実 装 の 実 施 状 況 を 確 認 するためのチェックリストや CWE 対 応 表 も 付 属 しています 本 書 に 示 す 内 容 は あくまで 解 決 策 の 一 例 であり 必 ずしもこれらの 実 施 を 求 めるものではありませ ん また 修 正 例 として 紹 介 しているソースコードは 簡 易 検 証 によりその 有 効 性 を 確 認 していますが 副 作 用 が 無 いことを 保 証 するものではありません ウェブサイトのセキュリティ 問 題 の 解 決 の 参 考 にして いただければ 幸 いです 対 象 読 者 対 象 読 者 は 企 業 や 個 人 を 問 わず ウェブアプリケーション 開 発 者 やサーバ 管 理 者 等 ウェブサイト の 運 営 に 関 わる 方 の 全 てとしています 特 に セキュリティを 初 めて 意 識 するウェブアプリケーション 開 発 者 の 方 を 想 定 しています 第 7 版 の 主 な 改 訂 内 容 第 7 版 では 1 章 に クリックジャッキングとバッファオーバーフローの 脆 弱 性 の 解 説 を 追 加 し クロス サイト スクリプティングの 脆 弱 性 への 対 策 方 法 各 脆 弱 性 で 紹 介 している 届 出 状 況 参 考 URL 等 を 更 新 しました また 2 章 に ウェブサイトにおけるパスワードの 管 理 方 法 の 解 説 を 追 加 し 通 信 経 路 の 暗 号 化 の 解 説 DNS などの 対 策 方 法 参 考 URL を 更 新 しました 3

6 はじめに 脆 弱 性 対 策 について - 根 本 的 解 決 と 保 険 的 対 策 - 脆 弱 性 への 対 策 は その 対 策 内 容 や 取 り 組 みの 視 点 によって 期 待 できる 効 果 が 異 なります ある 対 策 は 脆 弱 性 の 原 因 そのものを 取 り 除 く 根 本 からの 解 決 を 期 待 できるものかもしれません また ある 対 策 は 外 因 である 攻 撃 手 法 に 着 目 して 特 定 の 攻 撃 は 防 ぐことができるものの 別 の 種 類 の 攻 撃 に 対 し ては 効 果 がないものかもしれません ここで 大 切 なことは 自 分 が 選 択 する 対 策 が どのような 性 質 を 持 っているのか 期 待 する 効 果 を 得 られるものなのか ということを 正 しく 理 解 把 握 することです 本 書 では 特 にウェブアプリケーションにおける 脆 弱 性 対 策 について その 性 質 を 基 に 根 本 的 解 決 と 保 険 的 対 策 の 2 つに 分 類 しています 根 本 的 解 決 本 書 における 根 本 的 解 決 は 脆 弱 性 を 作 り 込 まない 実 装 を 実 現 する 手 法 です 根 本 的 解 決 を 実 施 することにより その 脆 弱 性 を 狙 った 攻 撃 が 無 効 化 されることを 期 待 できます 保 険 的 対 策 本 書 における 保 険 的 対 策 は 攻 撃 による 影 響 を 軽 減 する 対 策 です 根 本 的 解 決 とは 違 って 脆 弱 性 の 原 因 そのものを 無 くすものではありませんが 攻 撃 から 被 害 までの 次 の 各 フェーズにおいて それぞれの 影 響 を 軽 減 できます 攻 撃 される 可 能 性 を 低 減 する ( 例 : 攻 撃 につながるヒントを 与 えない) 攻 撃 された 場 合 に 脆 弱 性 を 突 かれる 可 能 性 を 低 減 する ( 例 : 入 力 から 攻 撃 に 使 われるデータをサニタイズ( 無 効 化 )する) 脆 弱 性 を 突 かれた 場 合 に 被 害 範 囲 を 最 小 化 する ( 例 :アクセス 制 御 ) 被 害 が 生 じた 場 合 に 早 期 に 知 る ( 例 : 事 後 通 知 ) 理 想 的 には ウェブアプリケーション 開 発 の 設 計 段 階 から 根 本 的 解 決 の 手 法 を 採 用 することが 望 ま しいと 言 えます 保 険 的 対 策 は 脆 弱 性 の 原 因 そのものを 無 くす 対 策 ではありませんので 保 険 的 対 策 の みに 頼 る 設 計 は 推 奨 されません とはいえ 根 本 的 解 決 の 実 装 に 漏 れが 生 じる 場 合 保 険 的 対 策 はい わば セーフティネット として 機 能 しますので 根 本 的 解 決 と 保 険 的 対 策 を 併 せて 採 用 することが 有 効 な 場 合 もあります すでに 開 発 を 終 え 運 用 段 階 のウェブアプリケーションにおいて 後 から 脆 弱 性 対 策 を 実 施 する 場 合 に おいても 根 本 的 解 決 の 手 法 を 採 用 することが 望 ましいですが 費 用 や 時 間 その 他 の 事 情 によりすぐ に 実 施 できない 場 合 には 保 険 的 対 策 は 暫 定 対 策 として 機 能 します 保 険 的 対 策 は 対 策 の 内 容 によっては 本 来 の 機 能 を 制 限 することになるものもあるので そのような 副 作 用 の 影 響 も 考 慮 する 必 要 があります 4

7 1.1 SQL インジェクション 1. ウェブアプリケーションのセキュリティ 実 装 本 章 では ウェブアプリケーションのセキュリティ 実 装 として 下 記 の 脆 弱 性 を 取 り 上 げ 3 発 生 しうる 脅 威 注 意 が 必 要 なサイト 根 本 的 解 決 および 保 険 的 対 策 を 示 します 1) SQL インジェクション 2) OS コマンド インジェクション 3) パス 名 パラメータの 未 チェック/ディレクトリ トラバーサル 4) セッション 管 理 の 不 備 5) クロスサイト スクリプティング 6) CSRF(クロスサイト リクエスト フォージェリ) 7) HTTP ヘッダ インジェクション 8) メールヘッダ インジェクション 9) クリックジャッキング 10) バッファオーバーフロー 11) アクセス 制 御 や 認 可 制 御 の 欠 落 3 資 料 の 構 成 上 脆 弱 性 の 深 刻 度 や 攻 撃 による 影 響 届 出 状 況 を 考 慮 して 項 番 を 割 り 当 てていますが これは 対 策 の 優 先 順 位 を 示 すものではありません 優 先 順 位 は 運 営 するウェブサイトの 状 況 に 合 わせてご 検 討 ください 5

8 1.1 SQL インジェクション 1.1 SQL インジェクション データベースと 連 携 したウェブアプリケーションの 多 くは 利 用 者 からの 入 力 情 報 を 基 に SQL 文 (デー タベースへの 命 令 文 )を 組 み 立 てています ここで SQL 文 の 組 み 立 て 方 法 に 問 題 がある 場 合 攻 撃 に よってデータベースの 不 正 利 用 をまねく 可 能 性 があります このような 問 題 を SQL インジェクションの 脆 弱 性 と 呼 び 問 題 を 悪 用 した 攻 撃 を SQL インジェクション 攻 撃 と 呼 びます SQL インジェクション SQL インジェクションの 脆 弱 性 がある 場 合 悪 意 あるリクエストにより データベースの 不 正 利 用 をまねく 可 能 性 があります 悪 意 のある 人 ウェブサイト データベースへの 命 令 文 を 構 成 する 入 力 値 を 送 信 データベースへ 命 令 を 送 信 消 去 情 報 漏 えい SQLインジェクションの 脆 弱 性 があるウェブアプリケーション データ ベース 改 ざん 発 生 しうる 脅 威 SQL インジェクション 攻 撃 により 発 生 しうる 脅 威 は 次 のとおりです - データベースに 蓄 積 された 非 公 開 情 報 の 閲 覧 個 人 情 報 の 漏 えい 等 - データベースに 蓄 積 された 情 報 の 改 ざん 消 去 ウェブページの 改 ざん パスワード 変 更 システム 停 止 等 - 認 証 回 避 による 不 正 ログイン 4 ログインした 利 用 者 に 許 可 されている 全 ての 操 作 を 不 正 に 行 われる - ストアドプロシージャ 等 を 利 用 した OS コマンドの 実 行 システムの 乗 っ 取 り 他 への 攻 撃 の 踏 み 台 としての 悪 用 等 注 意 が 必 要 なウェブサイトの 特 徴 運 営 主 体 やウェブサイトの 性 質 を 問 わず データベース 5 を 利 用 するウェブアプリケーションを 設 置 し ているウェブサイトに 存 在 しうる 問 題 です 個 人 情 報 等 の 重 要 情 報 をデータベースに 格 納 しているウェブ サイトは 特 に 注 意 が 必 要 です 4 後 述 1.4 セッション 管 理 の 不 備 で 解 説 する 発 生 しうる 脅 威 と 同 じ 内 容 です 5 代 表 的 なデータベースエンジンには MySQL, PostgreSQL, Oracle, Microsoft SQL Server, DB2 等 が 挙 げられます 6

9 1.1 SQL インジェクション 6 届 出 状 況 SQL インジェクションの 脆 弱 性 に 関 する 届 出 件 数 は 他 の 脆 弱 性 に 比 べて 多 く 届 出 受 付 開 始 から 2014 年 第 4 四 半 期 までに ウェブサイトの 届 出 件 数 の 11% に 相 当 する 届 出 を 受 けています また ソフ トウェア 製 品 の 届 出 も ウェブサイトの 届 出 件 数 ほど 多 くはありませんが 少 なからずあります 下 記 は IPA が 届 出 を 受 け 同 脆 弱 性 の 対 策 が 施 されたソフトウェア 製 品 の 例 です DBD::PgPP における SQL インジェクションの 脆 弱 性 Piwigo における SQL インジェクションの 脆 弱 性 サイボウズ ガルーン における SQL インジェクションの 脆 弱 性 根 本 的 解 決 1-(i)-a SQL 文 の 組 み 立 ては 全 てプレースホルダで 実 装 する SQL には 通 常 プレースホルダを 用 いて SQL 文 を 組 み 立 てる 仕 組 みがあります SQL 文 の 雛 形 の 中 に 変 数 の 場 所 を 示 す 記 号 (プレースホルダ)を 置 いて 後 に そこに 実 際 の 値 を 機 械 的 な 処 理 で 割 り 当 てるものです ウェブアプリケーションで 直 接 文 字 列 連 結 処 理 によって SQL 文 を 組 み 立 てる 方 法 に 比 べて プレースホルダでは 機 械 的 な 処 理 で SQL 文 が 組 み 立 てられるので SQL インジェクションの 脆 弱 性 を 解 消 できます プレースホルダに 実 際 の 値 を 割 り 当 てる 処 理 をバインドと 呼 びます バインドの 方 式 には プレース ホルダのまま SQL 文 をコンパイルしておき データベースエンジン 側 で 値 を 割 り 当 てる 方 式 ( 静 的 プレ ースホルダ)と アプリケーション 側 のデータベース 接 続 ライブラリ 内 で 値 をエスケープ 処 理 してプレー スホルダにはめ 込 む 方 式 ( 動 的 プレースホルダ)があります 静 的 プレースホルダは SQL の ISO/JIS 規 格 では 準 備 された 文 (Prepared Statement)と 呼 ばれます どちらを 用 いても SQL インジェクション 脆 弱 性 を 解 消 できますが 原 理 的 に SQL インジェクション 脆 弱 性 の 可 能 性 がなくなるという 点 で 静 的 プレースホルダの 方 が 優 ります 詳 しくは 本 書 別 冊 の 安 全 な SQL の 呼 び 出 し 方 のプレースホルダの 項 (3.2 節 )を 参 照 してください 1-(i)-b SQL 文 の 組 み 立 てを 文 字 列 連 結 により 行 う 場 合 は エスケープ 処 理 等 を 行 うデータ ベースエンジンの API を 用 いて SQL 文 のリテラルを 正 しく 構 成 する SQL 文 の 組 み 立 てを 文 字 列 連 結 により 行 う 場 合 は SQL 文 中 で 可 変 となる 値 をリテラル( 定 数 )の 形 で 埋 め 込 みます 値 を 文 字 列 型 として 埋 め 込 む 場 合 は 値 をシングルクォートで 囲 んで 記 述 します が その 際 に 文 字 列 リテラル 内 で 特 別 な 意 味 を 持 つ 記 号 文 字 をエスケープ 処 理 します(たとえば ' '' \ \\ 等 ) 値 を 数 値 型 として 埋 め 込 む 場 合 は 数 値 リテラルであることを 確 実 にする 処 6 最 新 情 報 は 下 記 URL を 参 照 してください 脆 弱 性 関 連 情 報 に 関 する 届 出 状 況 : 7

10 1.1 SQL インジェクション 理 ( 数 値 型 へのキャスト 等 )を 行 います こうした 処 理 で 具 体 的 に 何 をすべきかは データベースエンジンの 種 類 や 設 定 によって 異 なるため それにあわせた 実 装 が 必 要 です データベースエンジンによっては リテラルを 文 字 列 として 生 成 する 専 用 の API 7 を 提 供 しているものがありますので それを 利 用 することをお 勧 めします 詳 しくは 安 全 な SQL の 呼 び 出 し 方 の 4.1 節 を 参 照 してください なお この 処 理 は 外 部 からの 入 力 の 影 響 を 受 ける 値 のみに 限 定 して 行 うのではなく SQL 文 を 構 成 する 全 てのリテラル 生 成 に 対 して 行 うべきです 1-(ii) ウェブアプリケーションに 渡 されるパラメータに SQL 文 を 直 接 指 定 しない これは いわば 論 外 の 実 装 ですが hidden パラメータ 等 に SQL 文 をそのまま 指 定 するという 事 例 の 届 出 がありましたので 避 けるべき 実 装 として 紹 介 します ウェブアプリケーションに 渡 されるパラメータに SQL 文 を 直 接 指 定 する 実 装 は そのパラメータ 値 の 改 変 により データベースの 不 正 利 用 につながる 可 能 性 があります 保 険 的 対 策 1-(iii) エラーメッセージをそのままブラウザに 表 示 しない エラーメッセージの 内 容 に データベースの 種 類 やエラーの 原 因 実 行 エラーを 起 こした SQL 文 等 の 情 報 が 含 まれる 場 合 これらは SQL インジェクション 攻 撃 につながる 有 用 な 情 報 となりえます また エラーメッセージは 攻 撃 の 手 がかりを 与 えるだけでなく 実 際 に 攻 撃 された 結 果 を 表 示 する 情 報 源 と して 悪 用 される 場 合 があります データベースに 関 連 するエラーメッセージは 利 用 者 のブラウザ 上 に 表 示 させないことをお 勧 めします 1-(iv) データベースアカウントに 適 切 な 権 限 を 与 える ウェブアプリケーションがデータベースに 接 続 する 際 に 使 用 するアカウントの 権 限 が 必 要 以 上 に 高 い 場 合 攻 撃 による 被 害 が 深 刻 化 する 恐 れがあります ウェブアプリケーションからデータベースに 渡 す 命 令 文 を 洗 い 出 し その 命 令 文 の 実 行 に 必 要 な 最 小 限 の 権 限 をデータベースアカウントに 与 えてく ださい 以 上 の 対 策 により SQL インジェクション 攻 撃 に 対 する 安 全 性 の 向 上 が 期 待 できます データベースと 連 携 したウェブアプリケーションの 構 築 や SQL インジェクションの 脆 弱 性 に 関 する 情 報 については 次 の 資 料 も 参 考 にしてください 7 実 行 環 境 によっては エスケープ 処 理 を 適 切 に 行 わない 脆 弱 性 が 指 摘 されている API もあります その 場 合 は 修 正 パ ッチを 適 用 するか 別 の 方 法 を 検 討 して 下 さい 8

11 1.1 SQL インジェクション CWE CWE-89: SQL インジェクション CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') (2.8) 参 考 URL IPA: 安 全 な SQL の 呼 び 出 し 方 IPA: 知 っていますか? 脆 弱 性 (ぜいじゃくせい) 1. SQL インジェクション IPA: 2014 年 度 情 報 セキュリティ 事 象 被 害 状 況 調 査 報 告 書 について 9

12 1.2 OS コマンド インジェクション 1.2 OS コマンド インジェクション ウェブアプリケーションによっては 外 部 からの 攻 撃 により ウェブサーバの OS コマンドを 不 正 に 実 行 されてしまう 問 題 を 持 つものがあります このような 問 題 を OS コマンド インジェクションの 脆 弱 性 と 呼 び 問 題 を 悪 用 した 攻 撃 手 法 を OS コマンド インジェクション 攻 撃 と 呼 びます OS コマンド インジェクション OSコマンド インジェクションの 脆 弱 性 がある 場 合 悪 意 あるリクエストにより ウェブサーバ 側 で 意 図 しない OSコマンドを 実 行 させられ 重 要 情 報 が 盗 まれたり 攻 撃 の 踏 み 台 に 悪 用 される 可 能 性 があります 悪 意 のある 人 ウェブサイト OSコマンドを 含 む 攻 撃 リクエスト 情 報 漏 えい OSコマンドの 実 行 OSコマンド インジェクションの 脆 弱 性 があるウェブアプリケーション ファイル 改 ざん シェル システム 不 正 操 作 ウィルス 感 染 他 サイトへ 攻 撃 発 生 しうる 脅 威 OS コマンド インジェクション 攻 撃 により 発 生 しうる 脅 威 は 次 のとおりです - サーバ 内 ファイルの 閲 覧 改 ざん 削 除 重 要 情 報 の 漏 えい 設 定 ファイルの 改 ざん 等 - 不 正 なシステム 操 作 意 図 しない OS のシャットダウン ユーザアカウントの 追 加 変 更 等 - 不 正 なプログラムのダウンロード 実 行 ウイルス ワーム ボット 等 への 感 染 バックドアの 設 置 等 - 他 のシステムへの 攻 撃 の 踏 み 台 サービス 不 能 攻 撃 システム 攻 略 のための 調 査 迷 惑 メールの 送 信 等 注 意 が 必 要 なウェブサイトの 特 徴 運 営 主 体 やウェブサイトの 性 質 を 問 わず 外 部 プログラムを 呼 び 出 し 可 能 な 関 数 等 8 を 使 用 しているウ ェブアプリケーションに 注 意 が 必 要 な 問 題 です 8 外 部 プログラムを 呼 び 出 し 可 能 な 関 数 の 例 : Perl: open(), system(), eval() 等 PHP : exec(), passthru(), shell_exec(), system(), popen() 等 10

13 1.2 OS コマンド インジェクション 届 出 状 況 OS コマンド インジェクションの 脆 弱 性 は Perl で 開 発 されたウェブアプリケーションや 組 み 込 み 製 品 の 管 理 画 面 で 使 用 される CGI プログラム 等 のソフトウェア 製 品 に 発 見 され 届 出 を 受 けています 下 記 は IPA が 届 出 を 受 け 同 脆 弱 性 の 対 策 が 施 されたソフトウェア 製 品 の 例 です 複 数 の ASUS 製 無 線 LAN ルータにおける OS コマンド インジェクションの 脆 弱 性 Usermin における OS コマンド インジェクションの 脆 弱 性 Movable Type における OS コマンド インジェクションの 脆 弱 性 根 本 的 解 決 2-(i) シェルを 起 動 できる 言 語 機 能 の 利 用 を 避 ける ウェブアプリケーションに 利 用 されている 言 語 によっては シェルを 起 動 できる 機 能 を 持 つものがあ ります たとえば Perl の open 関 数 等 です Perl の open 関 数 は 引 数 として 与 えるファイルパスに (パイプ)を 使 うことで OS コマンドを 実 行 できるため 外 部 からの 入 力 値 を 引 数 として 利 用 する 実 装 は 危 険 です シェルを 起 動 できる 言 語 機 能 の 利 用 は 避 けて 9 他 の 関 数 等 で 代 替 してください Perl でファ イルを 開 く 場 合 sysopen 関 数 を 利 用 すればシェルを 起 動 することはありません 保 険 的 対 策 2-(ii) シェルを 起 動 できる 言 語 機 能 を 利 用 する 場 合 は その 引 数 を 構 成 する 全 ての 変 数 に 対 してチェックを 行 い あらかじめ 許 可 した 処 理 のみを 実 行 する シェルを 起 動 できる 言 語 機 能 の 引 数 を 構 成 する 変 数 に 対 し 引 数 に 埋 め 込 む 前 にチェックをかけ 本 来 想 定 する 動 作 のみを 実 行 するように 実 装 してください チェック 方 法 には その 引 数 に 許 可 する 文 字 の 組 み 合 わせを 洗 い 出 し その 組 み 合 わせ 以 外 は 許 可 しない ホワイトリスト 方 式 をお 勧 めします 数 値 を 示 すはずのパラメータであれば 数 字 のみからなる 文 字 列 であることをチェックします チェック の 結 果 許 可 しない 文 字 の 組 み 合 わせが 確 認 された 場 合 は 引 数 へ 渡 さず 処 理 を 中 止 します なお チェック 方 法 には OS コマンド インジェクション 攻 撃 に 悪 用 される 記 号 文 字 ( < > 等 ) 等 問 題 となりうる 文 字 を 洗 い 出 し これを 許 可 しない ブラックリスト 方 式 もありますが この 方 法 は チェックに 漏 れが 生 じる 可 能 性 があるため お 勧 めできません 以 上 の 対 策 により OS コマンド インジェクション 攻 撃 に 対 する 安 全 性 の 向 上 が 期 待 できます OS コ マンド インジェクションの 脆 弱 性 に 関 する 情 報 については 次 の 資 料 も 参 考 にしてください の 修 正 例 1~3 を 参 照 11

14 1.2 OS コマンド インジェクション CWE CWE-78: OS コマンドインジェクション CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') 参 考 URL IPA: 知 っていますか? 脆 弱 性 (ぜいじゃくせい) 5. OS コマンド インジェクション

15 1.3 パス 名 パラメータの 未 チェック/ディレクトリ トラバーサル 1.3 パス 名 パラメータの 未 チェック/ディレクトリ トラバーサル ウェブアプリケーションの 中 には 外 部 からのパラメータにウェブサーバ 内 のファイル 名 を 直 接 指 定 し ているものがあります このようなウェブアプリケーションでは ファイル 名 指 定 の 実 装 に 問 題 がある 場 合 攻 撃 者 に 任 意 のファイルを 指 定 され ウェブアプリケーションが 意 図 しない 処 理 を 行 ってしまう 可 能 性 が あります このような 問 題 の 一 種 を ディレクトリ トラバーサルの 脆 弱 性 と 呼 び この 問 題 を 悪 用 した 攻 撃 手 法 の 一 つに ディレクトリ トラバーサル 攻 撃 があります パス 名 パラメータを 悪 用 したファイル 参 照 パラメータにファイル 名 を 指 定 しているウェブアプリケーションでは ファイル 名 指 定 の 実 装 に 問 題 がある 場 合 公 開 を 想 定 していないファイルを 参 照 されてしまう 可 能 性 があります 悪 意 のある 人 Secret.txt の 内 容 個 人 情 報 ( 住 所 氏 名 電 話 番 号 ) パスワード 利 用 者 ID etc... 情 報 漏 えい 発 生 しうる 脅 威 本 脆 弱 性 を 悪 用 した 攻 撃 により 発 生 しうる 脅 威 は 次 のとおりです - サーバ 内 ファイルの 閲 覧 改 ざん 削 除 重 要 情 報 の 漏 えい 設 定 ファイル データファイル プログラムのソースコード 等 の 改 ざん 削 除 注 意 が 必 要 なウェブサイトの 特 徴 運 営 主 体 やウェブサイトの 性 質 を 問 わず 外 部 からのパラメータにウェブサーバ 内 のファイル 名 を 直 接 指 定 しているウェブアプリケーションに 起 こりうる 問 題 です 個 人 情 報 等 の 重 要 情 報 をウェブサーバ 内 にファイルとして 保 存 しているサイトは 特 に 注 意 が 必 要 です - サーバ 内 ファイルを 利 用 するウェブアプリケーションの 例 ウェブページのデザインテンプレートをファイルから 読 み 込 む 利 用 者 からの 入 力 内 容 を 指 定 のファイルへ 書 き 込 む 等 届 出 状 況 パス 名 パラメータに 関 する 脆 弱 性 の 届 出 がウェブサイトの 届 出 全 体 に 占 める 割 合 は 数 パーセントと 多 くはありません しかしながら これらの 脆 弱 性 については 受 付 開 始 当 初 から 継 続 して 届 出 を 受 けてい 13

16 1.3 パス 名 パラメータの 未 チェック/ディレクトリ トラバーサル ます 下 記 は IPA が 届 出 を 受 け 同 脆 弱 性 の 対 策 が 施 されたソフトウェア 製 品 の 例 です シンクグラフィカ 製 ダウンロードログ CGI におけるディレクトリ トラバーサルの 脆 弱 性 Spring Framework におけるディレクトリ トラバーサルの 脆 弱 性 VMware ESX および ESXi におけるディレクトリ トラバーサルの 脆 弱 性 根 本 的 解 決 3-(i)-a 外 部 からのパラメータでウェブサーバ 内 のファイル 名 を 直 接 指 定 する 実 装 を 避 ける 外 部 からのパラメータでウェブサーバ 内 のファイル 名 を 直 接 指 定 する 実 装 では そのパラメータが 改 変 され 任 意 のファイル 名 を 指 定 されることにより 公 開 を 想 定 しないファイルが 外 部 から 閲 覧 される 可 能 性 があります たとえば HTML 中 の hidden パラメータでウェブサーバ 内 のファイル 名 を 指 定 し そ のファイルをウェブページのテンプレートとして 使 用 する 実 装 では そのパラメータが 改 変 されることで 任 意 のファイルをウェブページとして 出 力 してしまう 等 の 可 能 性 があげられます 外 部 からのパラメータでウェブサーバ 内 のファイル 名 を 直 接 指 定 する 実 装 が 本 当 に 必 要 か 他 の 処 理 方 法 で 代 替 できないか 等 仕 様 や 設 計 から 見 直 すことをお 勧 めします 3-(i)-b ファイルを 開 く 際 は 固 定 のディレクトリを 指 定 し かつファイル 名 にディレクトリ 名 が 含 まれないようにする たとえば カレントディレクトリ 上 のファイル filename を 開 くつもりで open(filename) の 形 式 でコ ーディングしている 場 合 open(filename) の filename に 絶 対 パス 名 が 渡 されることにより 任 意 ディ レクトリのファイルが 開 いてしまう 可 能 性 があります この 絶 対 パス 名 による 指 定 を 回 避 する 方 法 として あらかじめ 固 定 のディレクトリ dirname を 指 定 し open(dirname+filename) のような 形 でコーディン グする 方 法 があります しかし これだけでは../ 等 を 使 用 したディレクトリ トラバーサル 攻 撃 を 回 避 できません これを 回 避 するために basename() 等 の パス 名 からファイル 名 のみを 取 り 出 す API を 利 用 して open(dirname+basename(filename)) のような 形 でコーディングして filename に 与 え られたパス 名 からディレクトリ 名 を 取 り 除 くようにします 10 保 険 的 対 策 3-(ii) ウェブサーバ 内 のファイルへのアクセス 権 限 の 設 定 を 正 しく 管 理 する ウェブサーバ 内 に 保 管 しているファイルへのアクセス 権 限 が 正 しく 管 理 されていれば ウェブアプリ の 修 正 例 を 参 照 14

17 1.3 パス 名 パラメータの 未 チェック/ディレクトリ トラバーサル ケーションが 任 意 ディレクトリのファイルを 開 く 処 理 を 実 行 しようとしても ウェブサーバ 側 の 機 能 でその アクセスを 拒 否 できる 場 合 があります 3-(iii) ファイル 名 のチェックを 行 う ファイル 名 を 指 定 した 入 力 パラメータの 値 から /../..\ 等 OS のパス 名 解 釈 でディレク トリを 指 定 できる 文 字 列 を 検 出 した 場 合 は 処 理 を 中 止 します ただし URL のデコード 処 理 を 行 って いる 場 合 は URL エンコードした %2F..%2F..%5C さらに 二 重 エンコードした %252F..%252F..%255C がファイル 指 定 の 入 力 値 として 有 効 な 文 字 列 となる 場 合 があります チェックを 行 うタイミングに 注 意 してください 以 上 の 対 策 により パス 名 パラメータを 悪 用 した 攻 撃 に 対 する 安 全 性 の 向 上 が 期 待 できます 本 脆 弱 性 に 関 する 情 報 については 次 の 資 料 も 参 考 にしてください CWE CWE-22: パス トラバーサル CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') 参 考 URL IPA: 知 っていますか? 脆 弱 性 (ぜいじゃくせい) 4. パス 名 パラメータの 未 チェック/ディレクトリ トラ バーサル IPA:ソフトウェア 等 の 脆 弱 性 関 連 情 報 に 関 する 届 出 状 況 [2014 年 第 4 四 半 期 (10 月 ~12 月 )] 1-4. 節 15

18 1.4 セッション 管 理 の 不 備 1.4 セッション 管 理 の 不 備 ウェブアプリケーションの 中 には セッション ID( 利 用 者 を 識 別 するための 情 報 )を 発 行 し セッション 管 理 を 行 っているものがあります このセッション ID の 発 行 や 管 理 に 不 備 がある 場 合 悪 意 のある 人 にロ グイン 中 の 利 用 者 のセッション ID を 不 正 に 取 得 され その 利 用 者 になりすましてアクセスされてしまう 可 能 性 があります この 問 題 を 悪 用 した 攻 撃 手 法 を セッション ハイジャック と 呼 びます セッションIDの 推 測 悪 意 のある 人 は セッションIDの 生 成 規 則 を 割 り 出 し 有 効 なセッションIDを 推 測 します 悪 意 のある 人 ウェブサイト セッションID:sid=abcd 発 行 さ れ たセッションID を 元 に 生 成 規 則 を 割 り 出 す 利 用 者 セッションID:sid=abcd 利 用 者 がログインする セッションID:sid=abcd1236 ウェブ アプリケーション セッションID:sid=abcd1236 なりすまし 3. 利 用 者 のセッションIDを 推 測 し 利 用 者 になりすます セッションIDの 盗 用 悪 意 のある 人 は 罠 を 仕 掛 けたり ネットワークを 盗 聴 したりし 利 用 者 のセッションIDを 盗 みます 利 用 者 1. 利 用 者 がログインする ウェブサイトが 利 用 者 に 発 行 したセッションID ウェブサイト 悪 意 のある 人 2-a. 罠 にかかった 利 用 者 が セッションIDを 悪 意 のある 人 に 渡 してしまう 悪 意 のある 人 が 用 意 した 罠 2-b.ネットワークを 盗 聴 し 利 用 者 の セ ッ ションIDを 取 得 する ウェブ アプリケーション 罠 や 盗 聴 により 入 手 したセッションID 3. 入 手 したセッションIDを 利 用 し 利 用 者 になりすます なりすまし 16

19 1.4 セッション 管 理 の 不 備 また 推 測 や 盗 用 以 外 に セッション 管 理 の 不 備 を 狙 ったもう 一 つの 攻 撃 手 法 として セッション ID の 固 定 化 (Session Fixation) と 呼 ばれる 攻 撃 手 法 があります 悪 意 ある 人 があらかじめ 用 意 したセッション 11 ID を 何 らかの 方 法 で 利 用 者 に 送 り 込 み 利 用 者 がこれに 気 付 かずにパスワードを 入 力 するなどして ログインすると 起 こりうる 問 題 です 悪 意 のある 人 がこの 攻 撃 に 成 功 すると あらかじめ 用 意 したセッショ ン ID を 利 用 し 利 用 者 になりすましてウェブサイトにアクセスすることができてしまいます セッションIDの 固 定 化 (Session Fixation) 悪 意 のある 人 は 何 らかの 方 法 で 自 分 が 取 得 したセッションIDを 利 用 者 に 送 り 込 み 利 用 者 のログインを 狙 って その 利 用 者 になりすまします 悪 意 のある 人 1. 悪 意 のある 人 が 自 分 用 のセッションIDを 取 得 する ウェブサイト 2. 何 らかの 方 法 で 自 分 が 取 得 したセッション IDを 利 用 者 に 送 り 込 む 利 用 者 悪 意 のある 人 用 に 作 成 されたセッションID 3. 利 用 者 が 悪 意 のある 人 に 送 り 込 ま れたセッションIDを 使 ってログインする ウェブ アプリケーション 4. 悪 意 のある 人 用 のセッションIDが 利 用 者 のIDでログインした 状 態 となる 5.あらかじめ 取 得 したセッションID でアクセスし 利 用 者 になりすます なりすまし 発 生 しうる 脅 威 セッション 管 理 の 不 備 を 狙 った 攻 撃 が 成 功 した 場 合 攻 撃 者 は 利 用 者 になりすまし その 利 用 者 本 人 に 許 可 されている 操 作 を 不 正 に 行 う 可 能 性 があります 具 体 的 には 次 の 脅 威 が 発 生 します 11 用 意 したセッション ID を 利 用 者 に 送 り 込 むことができてしまうのは 次 のいずれかに 該 当 する 場 合 です 1. ウェブアプリケーションがセッション ID を POST メソッドの hidden パラメータに 格 納 して 受 け 渡 しする 実 装 となっている 場 合 2. ウェブアプリケーションがセッション ID を Cookie に 格 納 して 受 け 渡 しする 実 装 となっている 場 合 で 利 用 者 のウェブブ ラウザが ドメインをまたがった Cookie のセットができてしまう Cookie Monster( 1) と 呼 ばれる 問 題 を 抱 えている 場 合 3. ウェブアプリケーションがセッション ID を Cookie に 格 納 して 受 け 渡 しする 実 装 となっている 場 合 で ウェブアプリケー ションサーバ 製 品 に Session Adoption( 2) の 脆 弱 性 がある 場 合 4. ウェブアプリケーションにクロスサイト スクリプティング( 後 述 1.5 参 照 ) 等 他 の 脆 弱 性 がある 場 合 1 Multiple Browser Cookie Injection Vulnerabilities 2 Session Fixation Vulnerability in Web-based Applications 17

20 1.4 セッション 管 理 の 不 備 - ログイン 後 の 利 用 者 のみが 利 用 可 能 なサービスの 悪 用 不 正 な 送 金 利 用 者 が 意 図 しない 商 品 購 入 利 用 者 が 意 図 しない 退 会 処 理 等 - ログイン 後 の 利 用 者 のみが 編 集 可 能 な 情 報 の 改 ざん 新 規 登 録 各 種 設 定 の 不 正 な 変 更 ( 管 理 者 画 面 パスワード 等 ) 掲 示 板 への 不 適 切 な 書 き 込 み 等 - ログイン 後 の 利 用 者 のみが 閲 覧 可 能 な 情 報 の 閲 覧 非 公 開 の 個 人 情 報 を 不 正 閲 覧 ウェブメールを 不 正 閲 覧 コミュニティ 会 員 専 用 の 掲 示 板 を 不 正 閲 覧 等 注 意 が 必 要 なウェブサイトの 特 徴 運 営 主 体 やウェブサイトの 性 質 を 問 わず ログイン 機 能 を 持 つウェブサイト 全 般 に 注 意 が 必 要 な 問 題 です ログイン 後 に 決 済 処 理 等 の 重 要 な 処 理 を 行 うサイトは 攻 撃 による 被 害 が 大 きくなるため 特 に 注 意 が 必 要 です - 金 銭 処 理 が 発 生 するサイト ネットバンキング ネット 証 券 ショッピング オークション 等 - 非 公 開 情 報 を 扱 うサイト 転 職 サイト コミュニティサイト ウェブメール 等 - その 他 ログイン 機 能 を 持 つサイト 管 理 者 画 面 会 員 専 用 サイト 日 記 サイト 等 届 出 状 況 セッション 管 理 の 不 備 に 関 する 届 出 がウェブサイトの 届 出 全 体 に 占 める 割 合 は 数 パーセントと 多 くは ありません しかしながら これらの 脆 弱 性 については 受 付 開 始 当 初 から 継 続 して 届 出 を 受 けています 下 記 は IPA が 届 出 を 受 け 同 脆 弱 性 の 対 策 が 施 されたソフトウェア 製 品 の 例 です WisePoint におけるセッション 固 定 の 脆 弱 性 HDL-A および HDL2-A シリーズにおけるセッション 管 理 に 関 する 脆 弱 性 basercms におけるセッション 管 理 不 備 の 脆 弱 性 根 本 的 解 決 4-(i) セッション ID を 推 測 が 困 難 なものにする セッション ID が 時 刻 情 報 等 を 基 に 単 純 なアルゴリズムで 生 成 されている 場 合 その 値 は 第 三 者 に 容 18

21 1.4 セッション 管 理 の 不 備 易 に 予 測 されてしまいます 12 利 用 者 がログインするタイミングで 発 行 されるセッション ID の 値 を 悪 意 あ る 人 によって 推 測 されると 悪 意 ある 人 がそのセッション ID を 使 って 利 用 者 になりすまし 本 来 は 利 用 者 しかアクセスできないウェブサイト 等 にアクセスできてしまいます セッション ID は 生 成 アルゴリズ ムに 暗 号 論 的 擬 似 乱 数 生 成 器 を 用 いるなどして 予 測 困 難 なものにしてください セッション 管 理 の 仕 組 みが 提 供 されるウェブアプリケーションサーバ 製 品 を 利 用 する 場 合 は その 製 品 が 提 供 するセッション 管 理 の 仕 組 みを 利 用 している 限 り 自 前 でセッション ID を 生 成 する 必 要 はあり ません 自 前 でセッション 管 理 の 仕 組 みを 構 築 しようとせず そうしたウェブアプリケーション 製 品 を 利 用 することをお 勧 めします 4-(ii) セッション ID を URL パラメータに 格 納 しない セッション ID を URL パラメータに 格 納 していると 利 用 者 のブラウザが Referer 送 信 機 能 によって セッション ID の 含 まれた URL をリンク 先 のサイトへ 送 信 してしまいます 悪 意 ある 人 にその URL を 入 手 されると セッション ハイジャックされてしまいます セッション ID は Cookie に 格 納 するか POST メ ソッドの hidden パラメータに 格 納 して 受 け 渡 しするようにしてください なお ウェブアプリケーションサーバ 製 品 によっては 利 用 者 が Cookie の 受 け 入 れを 拒 否 している 場 合 セッション ID を URL パラメータに 格 納 する 実 装 に 自 動 的 に 切 り 替 えてしまうものがあります そ のような 機 能 は 製 品 の 設 定 変 更 を 行 う 等 によって 自 動 切 り 替 え 機 能 を 無 効 化 することを 検 討 してく ださい 4-(iii) HTTPS 通 信 で 利 用 する Cookie には secure 属 性 を 加 える ウェブサイトが 発 行 する Cookie には secure 属 性 という 設 定 項 目 があり これが 設 定 された Cookie は HTTPS 通 信 のみで 利 用 されます Cookie に secure 属 性 がない 場 合 HTTPS 通 信 で 発 行 した Cookie は 経 路 が 暗 号 化 されていない HTTP 通 信 でも 利 用 されるため この HTTP 通 信 の 盗 聴 により Cookie 情 報 を 不 正 に 取 得 されてしまう 可 能 性 があります HTTPS 通 信 で 利 用 する Cookie には secure 属 性 を 必 ず 加 えてください かつ HTTP 通 信 で Cookie を 利 用 する 場 合 は HTTPS で 発 行 する Cookie とは 別 のものを 発 行 してください 4-(iv)-a ログイン 成 功 後 に 新 しくセッションを 開 始 する ウェブアプリケーションによっては ユーザがログインする 前 の 段 階 ( 例 えばサイトの 閲 覧 を 開 始 した 時 点 )でセッション ID を 発 行 してセッションを 開 始 し そのセッションをログイン 後 も 継 続 して 使 用 する 実 装 のものがあります しかしながら この 実 装 はセッション ID の 固 定 化 攻 撃 に 対 して 脆 弱 な 場 合 があり ます このような 実 装 を 避 け ログインが 成 功 した 時 点 から 新 しいセッションを 開 始 する( 新 しいセッショ ン ID でセッション 管 理 をする)ようにします また 新 しいセッションを 開 始 する 際 には 既 存 のセッショ のよくある 失 敗 例 1~2 を 参 照 19

22 1.4 セッション 管 理 の 不 備 ン ID を 無 効 化 します 13 こうすることにより 利 用 者 が 新 しくログインしたセッションに 対 し 悪 意 のある 人 は 事 前 に 手 に 入 れたセッション ID ではアクセスできなくなります 4-(iv)-b ログイン 成 功 後 に 既 存 のセッション ID とは 別 に 秘 密 情 報 を 発 行 し ページの 遷 移 ごとにその 値 を 確 認 する セッション ID とは 別 に ログイン 成 功 時 に 秘 密 情 報 を 作 成 して Cookie にセットし この 秘 密 情 報 と Cookie の 値 が 一 致 することを 全 てのページで 確 認 する 14 ようにします なお この 秘 密 情 報 の 作 成 に は 前 述 の 根 本 的 解 決 4-(i) の セッション ID を 推 測 が 困 難 なものにする と 同 様 の 生 成 アルゴリズム や 暗 号 処 理 を 用 います ただし 次 の 場 合 には 本 対 策 は 不 要 です 上 記 根 本 的 解 決 4-(iv)-a の 実 装 方 法 を 採 用 している 場 合 セッション ID をログイン 前 には 発 行 せず ログイン 成 功 後 に 発 行 する 実 装 のウェブアプリケーショ ンの 場 合 保 険 的 対 策 4-(v) セッション ID を 固 定 値 にしない 発 行 するセッション ID が 利 用 者 ごとに 固 定 の 値 である 場 合 この 情 報 が 攻 撃 者 に 入 手 されると 時 間 の 経 過 に 関 係 なく いつでも 攻 撃 者 からセッション ハイジャックされてしまいます セッション ID は 利 用 者 のログインごとに 新 しく 発 行 し 固 定 値 にしないようにしてください 4-(vi) セッション ID を Cookie にセットする 場 合 有 効 期 限 の 設 定 に 注 意 する Cookie は 有 効 期 限 が 過 ぎるまでブラウザに 保 持 されます このため ブラウザの 脆 弱 性 を 悪 用 する 等 何 らかの 方 法 で Cookie を 盗 むことが 可 能 な 場 合 その 時 点 で 保 持 されていた Cookie が 盗 まれる 可 能 性 があります Cookie を 発 行 する 場 合 は 有 効 期 限 の 設 定 に 注 意 してください たとえば Cookie の 有 効 期 限 を 短 い 日 時 に 設 定 し 必 要 以 上 の 期 間 Cookie がブラウザに 保 存 さ れないようにする 等 の 対 策 をとります なお Cookie をブラウザに 残 す 必 要 が 無 い 場 合 は 有 効 期 限 の 設 定 (expires=)を 省 略 し 発 行 し た Cookie をブラウザ 終 了 後 に 破 棄 させる 方 法 もあります しかし この 方 法 は 利 用 者 がブラウザを 終 了 させずに 使 い 続 けた 場 合 には Cookie は 破 棄 されないため 期 待 する 効 果 を 得 られない 可 能 性 があ 13 ログイン 後 にログイン 前 のセッション 情 報 を 引 き 継 ぐ 必 要 がある 場 合 には セッションデータのコピー 方 式 に 注 意 が 必 要 です オブジェクト 変 数 を 浅 いコピー(shallow copy)で 引 き 継 いだ 場 合 ログイン 前 セッションとログイン 後 セッションが 同 一 のデータを 共 有 して 参 照 することになり ログイン 前 のセッション ID によるアクセスで ログイン 後 セッションのデー タの 一 部 を 操 作 できてしまう 危 険 性 があります また ログイン 後 セッションのデータを ログイン 前 のセッション ID によ るアクセスで 閲 覧 できてしまうことが 脆 弱 性 となる 場 合 も 考 えられます これを 防 止 するには 深 いコピー(deep copy) で 引 き 継 ぐ 方 法 も 考 えられますが それだけではデータベースへの 参 照 の 共 有 や 一 時 ファイルへの 参 照 の 共 有 等 が 残 り 脆 弱 性 となる 場 合 もあると 考 えられるので ログイン 成 功 時 にログイン 前 のセッションを 破 棄 する 方 法 をお 勧 めし ます 14 一 部 のウェブアプリケーションサーバ 製 品 では このような 処 理 を 自 動 的 に 行 う 実 装 のものもあります 20

23 1.4 セッション 管 理 の 不 備 ります 以 上 の 対 策 により セッション ハイジャック 攻 撃 に 対 する 安 全 性 の 向 上 が 期 待 できます セッション 管 理 に 関 する 情 報 については 次 の 資 料 も 参 考 にしてください CWE CWE-330: Use of Insufficiently Random Values CWE-522: Insufficiently Protected Credentials CWE-614: Sensitive Cookie in HTTPS Session Without 'Secure' Attribute CWE-384: Session Fixation 参 考 URL IPA: 知 っていますか? 脆 弱 性 (ぜいじゃくせい) 6. セッション 管 理 の 不 備 産 業 技 術 総 合 研 究 所 高 木 浩 光 : CSRF と Session Fixation の 諸 問 題 について 21

24 1.5 クロスサイト スクリプティング 1.5 クロスサイト スクリプティング ウェブアプリケーションの 中 には 検 索 のキーワードの 表 示 画 面 や 個 人 情 報 登 録 時 の 確 認 画 面 掲 示 板 ウェブのログ 統 計 画 面 等 利 用 者 からの 入 力 内 容 や HTTP ヘッダの 情 報 を 処 理 し ウェブページとし て 出 力 するものがあります ここで ウェブページへの 出 力 処 理 に 問 題 がある 場 合 そのウェブページに スクリプト 等 を 埋 め 込 まれてしまいます この 問 題 を クロスサイト スクリプティングの 脆 弱 性 と 呼 び こ の 問 題 を 悪 用 した 攻 撃 手 法 を クロスサイト スクリプティング 攻 撃 と 呼 びます クロスサイト スクリプ ティング 攻 撃 の 影 響 は ウェブサイト 自 体 に 対 してではなく そのウェブサイトのページを 閲 覧 している 利 用 者 に 及 びます クロスサイト スクリプティング ウェブアプリケーションにスクリプトを 埋 め 込 むことが 可 能 な 脆 弱 性 がある 場 合 これを 悪 用 した 攻 撃 により 利 用 者 のブラウザ 上 で 不 正 なスクリプトが 実 行 されてしまう 可 能 性 があります 悪 意 のある 人 が 用 意 した 罠 ページ 1-a. 罠 とは 知 ら ず 悪 意 あるサイト の 罠 ページを 閲 覧 利 用 者 のブラウザ クリック! ウェブサイト 悪 意 の ある 人 1-b. 罠 リンクを 含 むメールを 送 信 利 用 者 のメーラ リンク 2.クリック 等 により スクリ プ ト を 含 む 文 字 列 を 送 信 ウェブ アプリケーション Cookie 漏 えい 5.スクリプトの 内 容 によって はCookie 情 報 等 が 漏 えい 利 用 者 スクリプト 実 行 偽 ページ の 表 示 4. 利 用 者 のブラウザ 上 でスクリプトが 実 行 3.スクリプトを 含 む ウェブページを 出 力 発 生 しうる 脅 威 クロスサイト スクリプティング 攻 撃 により 発 生 しうる 脅 威 は 次 のとおりです - 本 物 サイト 上 に 偽 のページが 表 示 される 偽 情 報 の 流 布 による 混 乱 フィッシング 詐 欺 による 重 要 情 報 の 漏 えい 等 - ブラウザが 保 存 している Cookie を 取 得 される Cookie にセッション ID が 格 納 されている 場 合 さらに 利 用 者 へのなりすましにつながる 15 Cookie に 個 人 情 報 等 が 格 納 されている 場 合 その 情 報 が 漏 えいする セッション 管 理 の 不 備 で 解 説 した 発 生 しうる 脅 威 と 同 じ 内 容 です 22

25 1.5 クロスサイト スクリプティング - 任 意 の Cookie をブラウザに 保 存 させられる セッション ID が 利 用 者 に 送 り 込 まれ セッション ID の 固 定 化 16 攻 撃 に 悪 用 される 注 意 が 必 要 なウェブサイトの 特 徴 運 営 主 体 やウェブサイトの 性 質 を 問 わず あらゆるサイトにおいて 注 意 が 必 要 な 問 題 です Cookie を 利 用 してログインのセッション 管 理 を 行 っているサイトや フィッシング 詐 欺 の 攻 撃 ターゲットになりやすい ページ(ログイン 画 面 個 人 情 報 の 入 力 画 面 等 )を 持 つサイトは 特 に 注 意 が 必 要 です - この 脆 弱 性 が 生 じやすいページの 機 能 例 入 力 内 容 を 確 認 させる 表 示 画 面 ( 会 員 登 録 アンケート 等 ) 誤 入 力 時 の 再 入 力 を 要 求 する 画 面 で 前 の 入 力 内 容 を 表 示 するとき 検 索 結 果 の 表 示 エラー 表 示 コメントの 反 映 (ブログ 掲 示 板 等 ) 等 届 出 状 況 クロスサイト スクリプティングの 脆 弱 性 の 届 出 件 数 は 他 の 脆 弱 性 に 比 べて 多 くなっています この 脆 弱 性 については 届 出 受 付 開 始 から 2014 年 第 4 四 半 期 までに ウェブサイトの 届 出 件 数 の 約 5 割 に 相 当 する 届 出 を 受 けています また ソフトウェア 製 品 においても この 脆 弱 性 に 関 して 多 数 の 届 出 を 受 け ています 下 記 は IPA が 届 出 を 受 け 同 脆 弱 性 の 対 策 が 施 されたソフトウェア 製 品 の 例 です ilogscanner におけるクロスサイト スクリプティングの 脆 弱 性 Aflax におけるクロスサイト スクリプティングの 脆 弱 性 Movable Type におけるクロスサイト スクリプティングの 脆 弱 性 対 策 について クロスサイト スクリプティングの 脆 弱 性 への 対 策 は ウェブアプリケーションの 性 質 に 合 わせ 下 記 の 3 つに 分 類 しています 1) HTML テキストの 入 力 を 許 可 しない 場 合 の 対 策 2) HTML テキストの 入 力 を 許 可 する 場 合 の 対 策 3) 全 てのウェブアプリケーションに 共 通 の 対 策 1) に 該 当 するウェブアプリケーションの 例 には 検 索 機 能 や 個 人 情 報 の 登 録 等 HTML タグ 等 を 用 い た 入 力 を 許 可 する 必 要 がないものが 挙 げられます 多 くのウェブアプリケーションがこちらに 該 当 するは ずです 16 セッション ID の 固 定 化 については p16 を 参 照 してください 23

26 1.5 クロスサイト スクリプティング 2) に 該 当 するウェブアプリケーションの 例 には 自 由 度 の 高 い 掲 示 板 やブログ 等 が 挙 げられます た とえば 利 用 者 が 入 力 文 字 の 色 やサイズを 指 定 できる 機 能 等 を 実 装 するために HTML テキストの 入 力 を 許 可 する 場 合 があるかもしれません 3) は 1) 2) の 両 者 のウェブアプリケーションに 共 通 して 必 要 な 対 策 です HTML テキストの 入 力 を 許 可 しない 場 合 の 対 策 根 本 的 解 決 5-(i) ウェブページに 出 力 する 全 ての 要 素 に 対 して エスケープ 処 理 を 施 す ウェブページを 構 成 する 要 素 として ウェブページの 本 文 や HTML タグの 属 性 値 等 に 相 当 する 全 て の 出 力 要 素 にエスケープ 処 理 を 行 います エスケープ 処 理 には ウェブページの 表 示 に 影 響 する 特 別 な 記 号 文 字 ( < > & 等 )を HTML エンティティ( < > & 等 )に 置 換 する 方 法 が あります また HTML タグを 出 力 する 場 合 は その 属 性 値 を 必 ず " (ダブルクォート)で 括 るようにし ます そして " で 括 られた 属 性 値 に 含 まれる " を HTML エンティティ " にエスケープします 脆 弱 性 防 止 の 観 点 からエスケープ 処 理 が 必 須 となるのは 外 部 からウェブアプリケーションに 渡 さ れる 入 力 値 の 文 字 列 や データベースやファイルから 読 み 込 んだ 文 字 列 その 他 何 らかの 文 字 列 を 演 算 によって 生 成 した 文 字 列 等 です しかし 必 須 であるか 不 必 要 であるかによらず テキストとして 出 力 するすべてに 対 してエスケープ 処 理 を 施 すよう 一 貫 したコーディングをすることで 対 策 漏 れ 17 を 防 止 することができます な お 対 象 と な る 出 力 処 理 は HTTP レ ス ポ ン ス へ の 出 力 に 限 り ま せ ん JavaScript の document.write メソッドや innerhtml プロパティ 等 を 使 用 して 動 的 にウェブページの 内 容 を 変 更 する 場 合 も 上 記 と 同 様 の 処 理 が 必 要 です 5-(ii) URL を 出 力 するときは や で 始 まる URL のみを 許 可 する URL には や から 始 まるものだけでなく javascript: の 形 式 で 始 まるもの もあります ウェブページに 出 力 するリンク 先 や 画 像 の URL が 外 部 からの 入 力 に 依 存 する 形 で 動 的 に 生 成 される 場 合 その URL にスクリプトが 含 まれていると クロスサイト スクリプティング 攻 撃 が 可 能 となる 場 合 があります たとえば 利 用 者 から 入 力 されたリンク 先 の URL を <a href="リンク 先 の URL"> の 形 式 でウェブページに 出 力 するウェブアプリケーションは リンク 先 の URL に javascript: 等 から 始 まる 文 字 列 を 指 定 された 場 合 に スクリプトを 埋 め 込 まれてしまう 可 能 性 があります リンク 先 の URL には や から 始 まる 文 字 列 のみを 許 可 する ホワイトリスト 方 式 で 実 装 してください 対 策 漏 れを 参 照 24

27 1.5 クロスサイト スクリプティング 5-(iii) <script>...</script> 要 素 の 内 容 を 動 的 に 生 成 しない ウェブページに 出 力 する<script>...</script> 要 素 の 内 容 が 外 部 からの 入 力 に 依 存 する 形 で 動 的 に 生 成 される 場 合 任 意 のスクリプトが 埋 め 込 まれてしまう 可 能 性 があります 危 険 なスクリプトだけ を 排 除 する 方 法 も 考 えられますが 危 険 なスクリプトであることを 確 実 に 判 断 することは 難 しいため <script>...</script> 要 素 の 内 容 を 動 的 に 生 成 する 仕 様 は 避 けることをお 勧 めします 5-(iv) スタイルシートを 任 意 のサイトから 取 り 込 めるようにしない スタイルシートには expression() 等 を 利 用 してスクリプトを 記 述 することができます このため 任 意 のサイトに 置 かれたスタイルシートを 取 り 込 めるような 設 計 をすると 生 成 するウェブページにスクリ プトが 埋 め 込 まれてしまう 可 能 性 があります 取 り 込 んだスタイルシートの 内 容 をチェックし 危 険 なス クリプトを 排 除 する 方 法 も 考 えられますが 確 実 に 排 除 することは 難 しいため スタイルシートを 外 部 か ら 指 定 可 能 な 仕 様 は 避 けることが 望 まれます 保 険 的 対 策 5-(v) 入 力 値 の 内 容 チェックを 行 う 入 力 値 すべてについて ウェブアプリケーションの 仕 様 に 沿 うものかどうかを 確 認 する 処 理 を 実 装 し 仕 様 に 合 わない 値 を 入 力 された 場 合 は 処 理 を 先 に 進 めず 再 入 力 を 求 めるようにする 対 策 方 法 です ただし この 対 策 が 有 効 となるのは 限 定 的 です 例 えば アプリケーションの 要 求 する 仕 様 が 幅 広 い 文 字 種 の 入 力 を 許 すものである 場 合 には 対 策 にならないため この 方 法 に 頼 ることはお 勧 めできません 対 策 になるとすれば アプリケーションの 要 求 する 仕 様 が 英 数 字 のみの 入 力 を 許 すものである 場 合 などであり この 仕 様 の 入 力 についての 内 容 チェックはクロスサイト スクリプティング 攻 撃 を 防 止 でき る 可 能 性 が 高 いですが この 場 合 も 入 力 値 の 確 認 処 理 を 通 過 した 後 の 文 字 列 の 演 算 結 果 がスクリ プト 文 字 列 を 形 成 してしまうプログラムとなっている 可 能 性 を 想 定 すれば やはり 完 全 な 対 策 ではあり ません HTML テキストの 入 力 を 許 可 する 場 合 の 対 策 根 本 的 解 決 5-(vi) 入 力 された HTML テキストから 構 文 解 析 木 を 作 成 し スクリプトを 含 まない 必 要 な 要 素 のみを 抽 出 する 入 力 された HTML テキストに 対 して 構 文 解 析 を 行 い ホワイトリスト 方 式 で 許 可 する 要 素 のみを 抽 出 します ただし これには 複 雑 なコーディングが 要 求 され 処 理 に 負 荷 がかかるといった 影 響 もある 25

28 1.5 クロスサイト スクリプティング ため 実 装 には 十 分 な 検 討 が 必 要 です 保 険 的 対 策 5-(vii) 入 力 された HTML テキストから スクリプトに 該 当 する 文 字 列 を 排 除 する 入 力 された HTML テキストに 含 まれる スクリプトに 該 当 する 文 字 列 を 抽 出 し 排 除 してください 抽 出 した 文 字 列 の 排 除 方 法 には 無 害 な 文 字 列 へ 置 換 することをお 勧 めします たとえば <script> や javascript: を 無 害 な 文 字 列 へ 置 換 する 場 合 <xscript> xjavascript: のように その 文 字 列 に 適 当 な 文 字 を 付 加 します 他 の 排 除 方 法 として 文 字 列 の 削 除 が 挙 げられますが 削 除 した 結 18 果 が 危 険 な 文 字 列 を 形 成 してしまう 可 能 性 があるため お 勧 めできません なお この 対 策 は 危 険 な 文 字 列 を 完 全 に 抽 出 することが 難 しいという 問 題 があります ウェブブラ ウザによっては java script: や java( 改 行 コード)script: 等 の 文 字 列 を javascript: と 解 釈 してしまうため 単 純 なパターンマッチングでは 危 険 な 文 字 列 を 抽 出 することができません その ため このような ブラックリスト 方 式 による 対 策 のみに 頼 ることはお 勧 めできません 全 てのウェブアプリケーションに 共 通 の 対 策 根 本 的 解 決 5-(viii) HTTP レスポンスヘッダの Content-Type フィールドに 文 字 コード(charset)を 指 定 する HTTP の レ ス ポ ン ス ヘ ッ ダ の Content-Type フ ィ ー ル ド に は Content-Type: text/html; charset=utf-8 のように 文 字 コード(charset)を 指 定 できます この 指 定 を 省 略 した 場 合 ブラウザは 文 字 コードを 独 自 の 方 法 で 推 定 して 推 定 した 文 字 コードにしたがって 画 面 表 示 を 処 理 します たとえ ば 一 部 のブラウザにおいては HTML テキストの 冒 頭 部 分 等 に 特 定 の 文 字 列 が 含 まれていると 必 ず 特 定 の 文 字 コードとして 処 理 されるという 挙 動 が 知 られています Content-Type フィールドで 文 字 コードの 指 定 を 省 略 した 場 合 攻 撃 者 が この 挙 動 を 悪 用 して 故 意 に 特 定 の 文 字 コードをブラウザに 選 択 させるような 文 字 列 を 埋 め 込 んだ 上 その 文 字 コードで 解 釈 した 場 合 にスクリプトのタグとなるような 文 字 列 を 埋 め 込 む 可 能 性 があります たとえば 具 体 的 な 例 として HTML テキストに +ADw-script+AD4-alert(+ACI-test+ACI-)+ADsAPA-/script+AD4- という 文 字 列 が 埋 め 込 まれた 場 合 が 考 えられます この 場 合 一 部 のブラウザはこれを UTF-7 の 文 字 コードでエンコードされた 文 字 列 として 識 別 します これが UTF-7 として 画 面 に 表 示 されると <script>alert('test');</script> として 扱 われるため スクリプトが 実 行 されてしまいます ウェブアプリケーションが 前 記 5-(i) の エスケープ 処 理 を 施 して 正 しくクロスサイト スクリプティ ングの 脆 弱 性 への 対 策 をしている 場 合 であっても 本 来 対 象 とする 文 字 が UTF-8 や EUC-JP のよくある 失 敗 例 2 を 参 照 26

29 1.5 クロスサイト スクリプティング Shift_JIS 等 の 文 字 コードで 扱 われてしまうと +ADw- 等 の 文 字 列 が エスケープ 処 理 されることはあ りません この 問 題 への 対 策 案 として エスケープ 処 理 の 際 に UTF-7 での 処 理 も 施 すという 方 法 が 考 えられ ますが UTF-7 のみを 想 定 すれば 万 全 とは 言 い 切 れません またこの 方 法 では UTF-7 を 前 提 に エ スケープ 処 理 した 結 果 正 当 な 文 字 列 (たとえば +ADw- という 文 字 列 )が 別 の 文 字 列 になるという 本 来 の 機 能 に 支 障 をきたすという 不 具 合 が 生 じます したがって この 問 題 の 解 決 策 としては Content-Type の 出 力 時 に charset を 省 略 することなく 必 ず 指 定 することが 有 効 です ウェブアプリケーションが HTML 出 力 時 に 想 定 している 文 字 コードを Content-Type の charset に 必 ず 指 定 してください 19 保 険 的 対 策 5-(ix) Cookie 情 報 の 漏 えい 対 策 として 発 行 する Cookie に HttpOnly 属 性 を 加 え TRACE メソッドを 無 効 化 する HttpOnly は Cookie に 設 定 できる 属 性 のひとつで これが 設 定 された Cookie は HTML テキスト 内 のスクリプトからのアクセスが 禁 止 されます これにより ウェブサイトにクロスサイト スクリプティン グの 脆 弱 性 が 存 在 する 場 合 であっても その 脆 弱 性 によって Cookie を 盗 まれるという 事 態 を 防 止 でき ます 具 体 的 には Cookie を 発 行 する 際 に Set-Cookie:( 中 略 )HttpOnly として 設 定 します なお この 対 策 を 採 用 する 場 合 には いくつかの 注 意 が 必 要 20 です HttpOnly 属 性 は ブラウザによって 対 応 状 況 に 差 がある 21 ため 全 てのウェブサイト 閲 覧 者 に 有 効 な 対 策 ではありません 本 対 策 は クロスサイト スクリプティングの 脆 弱 性 のすべての 脅 威 をなくすものではなく Cookie 漏 えい 以 外 の 脅 威 は 依 然 として 残 るものであること また 利 用 者 のブラウザによっては この 対 策 が 有 効 に 働 かない 場 合 があることを 理 解 した 上 で 対 策 の 実 施 を 検 討 してください 19 W3C 勧 告 HTML では ブラウザに 対 し 文 字 コードを 決 定 する 場 合 には 次 の 優 先 順 位 を 守 らねばならない とし ています( 1. HTTP ヘッダの Content-Type フィールドの charset パラメータ 2. META 要 素 で http-equiv 属 性 値 が Content-Type かつ value 属 性 の 値 に charset 情 報 があるもの 3. 外 部 リソースを 指 している 要 素 に 設 定 されている charset 属 性 値 したがって 文 字 コードの 指 定 箇 所 は 1.の HTTP ヘッダの Content-Type フィールドの charset パラメータ であること が 望 ましいと 考 えられます 20 Windows XP 以 前 ではウェブサーバにおいて TRACE メソッド を 無 効 とする 必 要 がありました TRACE メソッド が 有 効 である 場 合 サイトにクロスサイト スクリプティングの 脆 弱 性 があると Cross-Site Tracing と 呼 ばれる 攻 撃 手 法 によ って ブラウザから 送 信 される HTTP リクエストヘッダの 全 体 が 取 得 されてしまいます HTTP リクエストヘッダには Cookie 情 報 も 含 まれるため HttpOnly 属 性 を 加 えていても Cookie は 取 得 されてしまいます 21 HttpOnly に 対 する 各 ブラウザの 対 応 状 況 は 下 記 のページを 参 照 してください Browserscope: 27

30 1.5 クロスサイト スクリプティング 5-(x) クロスサイト スクリプティングの 潜 在 的 な 脆 弱 性 対 策 として 有 効 なブラウザの 機 能 を 有 効 にするレスポンスヘッダを 返 す ブラウザには クロスサイト スクリプティング 攻 撃 のブロックを 試 みる 機 能 を 備 えたものがあり ます しかし ユーザの 設 定 によっては 無 効 になってしまっている 場 合 があるため サーバ 側 か ら 明 示 的 に 有 効 にするレスポンスヘッダを 返 すことで ウェブアプリケーションにクロスサイト ス クリプティング 脆 弱 性 があった 場 合 にも 悪 用 を 避 けることができます ただし 下 記 に 示 すレスポ ンスヘッダは いずれもブラウザによって 対 応 状 況 に 差 がある 22 ため 全 てのウェブサイト 閲 覧 者 に 有 効 な 対 策 ではありません X-XSS-Protection X-XSS-Protection 23 は ブラウザの XSS フィルタ の 設 定 を 有 効 にするパラメータです ブ ラウザで 明 示 的 に 無 効 になっている 場 合 でも このパラメータを 受 信 することで 有 効 になります HTTP レスポンスヘッダに X-XSS-Protection: 1; mode=block のように 設 定 することで クロス サイト スクリプティング 攻 撃 のブロックを 試 みる 機 能 が 有 効 になります Content Security Policy Content Security Policy (CSP) 24 は ブラウザで 起 こりうる 問 題 を 緩 和 するセキュリティの 追 加 レイヤーです その 機 能 の 一 つに 反 射 型 クロスサイト スクリプティング 攻 撃 を 防 止 する reflected-xss があります HTTP レスポンスヘッダに Content-Security-Policy: reflected-xss block のように 設 定 することで クロスサイト スクリプティング 攻 撃 のブロックを 試 みる 機 能 が 有 効 になります 以 上 の 対 策 により クロスサイト スクリプティング 攻 撃 に 対 する 安 全 性 の 向 上 が 期 待 できます クロス サイト スクリプティングの 脆 弱 性 に 関 する 情 報 については 次 の 資 料 も 参 考 にしてください CWE CWE-79: クロスサイト スクリプティング(XSS) CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') 22 X-XSS-Protection および Content Security Policy に 対 する 各 ブラウザの 対 応 状 況 は 下 記 のページを 参 考 にしてく ださい Browserscope: 23 IEInternals: Controlling the XSS Filter 24 Content Security Policy Level

31 1.5 クロスサイト スクリプティング 参 考 URL IPA: 知 っていますか? 脆 弱 性 (ぜいじゃくせい) 2. クロスサイト スクリプティング IPA: テクニカルウォッチ DOM Based XSS に 関 するレポート JPCERT/CC: HTML5 を 利 用 した Web アプリケーションのセキュリティ 問 題 に 関 する 調 査 報 告 書 29

32 1.6 CSRF 1.6 CSRF(クロスサイト リクエスト フォージェリ) ウェブサイトの 中 には サービスの 提 供 に 際 しログイン 機 能 を 設 けているものがあります ここで ログ インした 利 用 者 からのリクエストについて その 利 用 者 が 意 図 したリクエストであるかどうかを 識 別 する 仕 組 みを 持 たないウェブサイトは 外 部 サイトを 経 由 した 悪 意 のあるリクエストを 受 け 入 れてしまう 場 合 があ ります このようなウェブサイトにログインした 利 用 者 は 悪 意 のある 人 が 用 意 した 罠 により 利 用 者 が 予 期 しない 処 理 を 実 行 させられてしまう 可 能 性 があります このような 問 題 を CSRF(Cross-Site Request Forgeries/クロスサイト リクエスト フォージェリ)の 脆 弱 性 と 呼 び これを 悪 用 した 攻 撃 を CSRF 攻 撃 と 呼 びます CSRF (クロスサイト リクエスト フォージェリ) ウェブサイトにCSRFの 脆 弱 性 が ある 場 合 悪 意 ある 人 により 利 用 者 が 予 期 しない 処 理 を 実 行 さ せられてしまう 可 能 性 があります 利 用 者 1. 通 常 通 り ログイン ウェブサイト 2.セッション IDを 発 行 ウェブ アプリケーション (ログイン 用 ) 罠 サイト 利 用 者 3.ログインし た 状 態 を 維 持 クリック! 設 定 変 更 悪 意 のある 人 4. 罠 とは 知 らず 悪 意 ある サイトの 罠 ページ 等 を 閲 覧 5.リンクのクリック 等 によ り 利 用 者 の 意 図 しない 攻 撃 リクエストをウェブアプリ ケーションに 送 信 強 制 投 稿 退 会 CSRFの 脆 弱 性 がある ウェブアプリケーション 発 生 しうる 脅 威 25 CSRF 攻 撃 により 発 生 しうる 脅 威 は 次 のとおりです - ログイン 後 の 利 用 者 のみが 利 用 可 能 なサービスの 悪 用 不 正 な 送 金 利 用 者 が 意 図 しない 商 品 購 入 利 用 者 が 意 図 しない 退 会 処 理 等 - ログイン 後 の 利 用 者 のみが 編 集 可 能 な 情 報 の 改 ざん 新 規 登 録 各 種 設 定 の 不 正 な 変 更 ( 管 理 者 画 面 パスワード 等 ) 掲 示 板 への 不 適 切 な 書 き 込 み 等 25 前 述 1.4 セッション 管 理 の 不 備 における 脅 威 と 比 較 してみると 攻 撃 者 は ログインした 利 用 者 のみが 閲 覧 可 能 な 情 報 を 閲 覧 することができない という 違 いがあると 言 えます ただし パスワード 変 更 のように 次 の 攻 撃 (なりすまし) に 繋 がる 攻 撃 が 成 功 した 場 合 には 情 報 漏 えいの 脅 威 も 発 生 する 可 能 性 があります 30

33 1.6 CSRF 注 意 が 必 要 なウェブサイトの 特 徴 次 の 技 術 を 利 用 してセッション 管 理 を 実 装 しているウェブサイトが CSRF 攻 撃 による 影 響 を 受 ける 可 能 性 があります - Cookie を 用 いたセッション 管 理 - Basic 認 証 - SSL クライアント 認 証 また 上 記 を 実 装 するウェブサイトのうち ログイン 後 に 決 済 処 理 等 の 重 要 な 処 理 を 行 うサイトは 攻 撃 による 被 害 が 大 きくなるため 特 に 注 意 が 必 要 です - 金 銭 処 理 が 発 生 するサイト ネットバンキング ネット 証 券 ショッピング オークション 等 - その 他 ログイン 機 能 を 持 つサイト 管 理 画 面 会 員 専 用 サイト 日 記 サイト 等 届 出 状 況 CSRF の 脆 弱 性 に 関 する 届 出 が ウェブサイトの 届 出 全 体 に 占 める 割 合 は 1パーセント 未 満 と 多 くは ありません しかしながらこれらの 脆 弱 性 については ソフトウェア 製 品 の 届 出 を 含 め 2006 年 頃 から 継 続 的 に 届 出 を 受 けています 届 出 の 報 告 内 容 としては ネットワーク 対 応 ハードディスク 等 組 み 込 み 製 品 のウェブ 管 理 画 面 に 同 脆 弱 性 が 存 在 する 例 等 があります 下 記 は IPA が 届 出 を 受 け 同 脆 弱 性 の 対 策 が 施 されたソフトウェア 製 品 の 例 です 複 数 の ASUS 製 無 線 LAN ルータにおけるクロスサイト リクエスト フォージェリの 脆 弱 性 Web 給 金 帳 におけるクロスサイト リクエスト フォージェリの 脆 弱 性 EC-CUBE におけるクロスサイト リクエスト フォージェリの 脆 弱 性 根 本 的 解 決 6-(i)-a 処 理 を 実 行 するページを POST メソッドでアクセスするようにし その hidden パ ラメータ に 秘 密 情 報 が 挿 入 されるよう 前 のページを 自 動 生 成 して 実 行 ページで はその 値 が 正 しい 場 合 のみ 処 理 を 実 行 する ここでは 具 体 的 な 例 として 入 力 画 面 確 認 画 面 登 録 処 理 のようなページ 遷 移 を 取 り 上 げて 説 明 します まず 利 用 者 の 入 力 内 容 を 確 認 画 面 として 出 力 する 際 合 わせて 秘 密 情 報 を hidden パラメータ に 出 力 するようにします この 秘 密 情 報 は セッション 管 理 に 使 用 しているセッショ ン ID を 用 いる 方 法 の 他 セッション ID とは 別 のもうひとつの ID( 第 2 セッション ID)をログイン 時 に 生 成 31

34 1.6 CSRF して 用 いる 方 法 等 が 考 えられます 生 成 する ID は 暗 号 論 的 擬 似 乱 数 生 成 器 を 用 いて 第 三 者 に 予 測 困 難 なように 生 成 する 必 要 があります 次 に 確 認 画 面 から 登 録 処 理 のリクエストを 受 けた 際 は リクエ スト 内 容 に 含 まれる hidden パラメータ の 値 と 秘 密 情 報 とを 比 較 し 一 致 しない 場 合 は 登 録 処 理 を 行 わないようにします 26 このような 実 装 であれば 攻 撃 者 が hidden パラメータ に 出 力 された 秘 密 情 報 を 入 手 できなければ 攻 撃 は 成 立 しません なお このリクエストは POST メソッドで 行 うようにします 27 これは GET メソッドで 行 った 場 合 外 部 サイトに 送 信 される Referer に 秘 密 情 報 が 含 まれてしまうためです 6-(i)-b 処 理 を 実 行 する 直 前 のページで 再 度 パスワードの 入 力 を 求 め 実 行 ページでは 再 度 入 力 されたパスワードが 正 しい 場 合 のみ 処 理 を 実 行 する 処 理 の 実 行 前 にパスワード 認 証 を 行 うことにより CSRF の 脆 弱 性 を 解 消 できます 28 ただし この 方 法 は 画 面 設 計 の 仕 様 変 更 を 要 する 対 策 であるため 画 面 設 計 の 仕 様 変 更 をせず 実 装 の 変 更 だけで 対 策 をする 必 要 がある 場 合 には 6-(i)-a または 6-(i)-c の 対 策 を 検 討 してください この 対 策 方 法 は 上 記 6-(i)-a と 比 べて 実 装 が 簡 単 となる 場 合 があります たとえば セッション 管 理 の 仕 組 みを 使 用 しないで Basic 認 証 を 用 いている 場 合 6-(i)-a の 対 策 をするには 新 たに 秘 密 情 報 を 作 る 必 要 があります このとき 暗 号 論 的 擬 似 乱 数 生 成 器 を 簡 単 には 用 意 できないならば この 対 策 の 方 が 採 用 しやすいと 言 えます 6-(i)-c Referer が 正 しいリンク 元 かを 確 認 し 正 しい 場 合 のみ 処 理 を 実 行 する Referer を 確 認 することにより 本 来 の 画 面 遷 移 を 経 ているかどうかを 判 断 できます Referer が 確 認 できない 場 合 は 処 理 を 実 行 しないようにします 29 また Referer が 空 の 場 合 も 処 理 を 実 行 しないよう にします これは Referer を 空 にしてページを 遷 移 する 方 法 が 存 在 し 攻 撃 者 がその 方 法 を 利 用 して CSRF 攻 撃 を 行 う 可 能 性 があるためです ただし ウェブサイトによっては 攻 撃 者 がそのウェブサイト 上 に 罠 を 設 置 することができる 場 合 があ り このようなサイトでは この 対 策 法 が 有 効 に 機 能 しない 場 合 があります また この 対 策 法 を 採 用 すると ブラウザやパーソナルファイアウォール 等 の 設 定 で Referer を 送 信 しないようにしている 利 用 者 が そのサイトを 利 用 できなくなる 不 都 合 が 生 じる 可 能 性 があります 本 対 策 の 採 用 には これらの 点 にも 注 意 してください の 修 正 例 1 を 参 照 27 HTTP/1.1 の 仕 様 を 定 義 している RFC2616 には 機 密 性 の 求 められるデータの 送 信 には GET メソッドを 使 わず POST メソッドを 使 うべきである という 内 容 の 記 述 があります( Encoding Sensitive Information in URI's) RFC2616: Hypertext Transfer Protocol -- HTTP/ の 修 正 例 2 を 参 照 の 修 正 例 3 を 参 照 32

35 1.6 CSRF 保 険 的 対 策 6-(ii) 重 要 な 操 作 を 行 った 際 に その 旨 を 登 録 済 みのメールアドレスに 自 動 送 信 する メールの 通 知 は 事 後 処 理 であるため CSRF 攻 撃 自 体 は 防 ぐことはできません しかしながら 実 際 に 攻 撃 があった 場 合 に 利 用 者 が 異 変 に 気 付 くきっかけを 作 ることができます なお メール 本 文 に は プライバシーに 関 わる 重 要 な 情 報 を 入 れない 等 の 注 意 が 必 要 です 以 上 の 対 策 により CSRF 攻 撃 に 対 する 安 全 性 の 向 上 が 期 待 できます CSRF の 脆 弱 性 に 関 する 情 報 については 次 の 資 料 も 参 考 にしてください CWE CWE-352: クロスサイト リクエスト フォージェリ(CSRF) CWE-352: Cross-Site Request Forgery (CSRF) 参 考 URL IPA: 知 っていますか? 脆 弱 性 (ぜいじゃくせい) 3. CSRF (クロスサイト リクエスト フォージェリ) 産 業 技 術 総 合 研 究 所 高 木 浩 光 : CSRF と Session Fixation の 諸 問 題 について JPCERT/CC: HTML5 を 利 用 した Web アプリケーションのセキュリティ 問 題 に 関 する 調 査 報 告 書 33

36 1.7 HTTP ヘッダ インジェクション 1.7 HTTP ヘッダ インジェクション ウェブアプリケーションの 中 には リクエストに 対 して 出 力 する HTTP レスポンスヘッダのフィールド 値 を 外 部 から 渡 されるパラメータの 値 等 を 利 用 して 動 的 に 生 成 するものがあります たとえば HTTP リダ イレクションの 実 装 として パラメータから 取 得 したジャンプ 先 の URL 情 報 を Location ヘッダのフィール ド 値 に 使 用 する 場 合 や 掲 示 板 等 において 入 力 された 名 前 等 を Set-Cookie ヘッダのフィールド 値 に 使 用 する 場 合 等 が 挙 げられます このようなウェブアプリケーションで HTTP レスポンスヘッダの 出 力 処 理 に 問 題 がある 場 合 攻 撃 者 は レスポンス 内 容 に 任 意 のヘッダフィールドを 追 加 したり 任 意 のボディを 作 成 したり 複 数 のレスポンスを 作 り 出 すような 攻 撃 を 仕 掛 ける 場 合 があります このような 問 題 を HTTP ヘッダ インジェクションの 脆 弱 性 と 呼 び この 問 題 を 悪 用 した 攻 撃 手 法 は HTTP ヘッダ インジ ェクション 攻 撃 と 呼 びます 特 に 複 数 のレスポンスを 作 り 出 す 攻 撃 は HTTP レスポンス 分 割 (HTTP Response Splitting) 攻 撃 と 呼 びます HTTPヘッダ インジェクション 任 意 のレスポンスヘッダフィールドやレスポンスボディを 作 成 する 罠 が 仕 掛 けられ この 罠 を 踏 んだ 利 用 者 のブラウザで 偽 のページが 表 示 されたり スクリプトが 実 行 したり 任 意 のCookieを 保 存 させられたりする 可 能 性 があります 悪 意 のある 人 が 用 意 した 罠 ページ 1-a. 罠 とは 知 ら ず 悪 意 あるサイト の 罠 ページを 閲 覧 利 用 者 のブラウザ クリック! ウェブサイト 悪 意 の ある 人 1-b. 罠 リンクを 含 むメールを 送 信 利 用 者 のメーラ リンク 2.クリック 等 に より 罠 に 仕 掛 けられ たリクエ ストを 送 信 HTTPヘッダ インジェクション の 脆 弱 性 がある ウェブ アプリケーション Cookie 漏 えい 5.スクリプトの 内 容 によって はCookie 情 報 等 が 漏 えい Cookie 発 行 スクリプト 実 行 偽 ページ の 表 示 4. 利 用 者 のブラウザ 上 でスクリプ トが 実 行 される 等 の 脅 威 が 発 生 3. 任 意 のヘッダや ボディが 追 加 された ウェブページを 出 力 発 生 しうる 脅 威 本 脆 弱 性 を 突 いた 攻 撃 により 発 生 しうる 脅 威 は 次 のとおりです - クロスサイト スクリプティング 攻 撃 により 発 生 しうる 脅 威 と 同 じ 脅 威 任 意 のレスポンスボディを 注 入 された 場 合 利 用 者 のブラウザ 上 で 偽 の 情 報 を 表 示 させられた り 任 意 のスクリプトを 埋 め 込 まれたりする 可 能 性 があります これは 前 述 1.5 クロスサイト ス クリプティング で 解 説 した 発 生 しうる 脅 威 と 同 じ 脅 威 です 34

37 1.7 HTTP ヘッダ インジェクション - 任 意 の Cookie 発 行 Set-Cookie ヘッダを 注 入 された 場 合 任 意 の Cookie が 発 行 され 利 用 者 のブラウザに 保 存 さ れる 可 能 性 があります - キャッシュサーバのキャッシュ 汚 染 複 数 のレスポンスに 分 割 し 任 意 のレスポンスボディをリバースプロキシ 等 にキャッシュさせる 30 ことにより キャッシュ 汚 染 (ウェブページの 差 し 替 え)を 引 き 起 こし ウェブページの 改 ざんと 同 じ 脅 威 が 生 じます この 攻 撃 を 受 けたウェブサイトにアクセスする 利 用 者 は この 差 し 替 えられた 偽 のウェブページを 参 照 し 続 けることになります クロスサイト スクリプティング 攻 撃 のように 攻 撃 を 受 けた 直 後 の 本 人 のみが 影 響 を 受 ける 場 合 に 比 べ キャッシュ 汚 染 による 脅 威 は 影 響 を 受 け る 対 象 が 広 く また 永 続 的 であることが 特 徴 です HTTPレスポンス 分 割 とキャッシュ 汚 染 分 割 されたレスポンスがキャッシュサーバにキャッシュされ このサイトの 利 用 者 が 差 し 替 えられた 偽 のウェブ ページを 閲 覧 してしまう 可 能 性 があります ウェブサイト 悪 意 のある 人 1.レスポンスを 分 割 し 偽 のページBを キャッシュさせる 攻 撃 リクエストを 送 信 HTTPヘッダインジェク ションの 脆 弱 性 がある ウェブアプリケーション 攻 撃 リクエスト キャッシュサーバ レスポンスA レスポンスB 利 用 者 3.キャッシュが 汚 染 さ れていることを 知 らずに ページBをリクエスト ページBとして キャッシュ 偽 のページ B ページ B 2. 一 つのHTTPレスポンスに 複 数 のHTTPレスポンスが 存 在 するように 出 力 ページ B 偽 のページB を 閲 覧 キャッシュされていた 本 来 の ページBが 差 し 替 えられる 30 HTTP レスポンス 分 割 によるキャッシュ 汚 染 については Watchfire 社 より 次 の 論 文 が 公 開 されています Watchfire: HTTP Response Splitting, Web Cache Poisoning Attacks, and Related Topics この 論 文 で 挙 げられている 脅 威 の 一 部 には プロキシサーバやウェブサーバ 製 品 の 脆 弱 性 を 原 因 とするものもありま す これら 製 品 の 脆 弱 性 については 同 様 の 脅 威 をもたらす HTTP Request Smuggling( 1) 脆 弱 性 および HTTP Response Smuggling( 2) 脆 弱 性 についても 注 意 してください 1 Watchfire: HTTP Request Smuggling (リンク 切 れ) 2 Securityfocus: HTTP Response Smuggling 35

38 1.7 HTTP ヘッダ インジェクション 注 意 が 必 要 なウェブサイトの 特 徴 運 営 主 体 やウェブサイトの 性 質 を 問 わず HTTP レスポンスヘッダのフィールド 値 (Location ヘッダ Set-Cookie ヘッダ 等 )を 外 部 から 渡 されるパラメータの 値 から 動 的 に 生 成 する 実 装 のウェブアプリケー ションに 注 意 が 必 要 な 問 題 です Cookie を 利 用 してログインのセッション 管 理 を 行 っているサイトや サイ ト 内 にリバースプロキシとしてキャッシュサーバを 構 築 しているサイトは 特 に 注 意 が 必 要 です 届 出 状 況 HTTP ヘッダ インジェクションの 脆 弱 性 の 届 出 がウェブサイトの 届 出 全 体 に 占 める 割 合 は 数 パーセン トと 多 くはありません しかしながらこれらの 脆 弱 性 については 受 付 開 始 当 初 から 継 続 的 に 届 出 を 受 け ています 下 記 は IPA が 届 出 を 受 け 同 脆 弱 性 の 対 策 が 施 されたソフトウェア 製 品 の 例 です Pebble における HTTP ヘッダ インジェクションの 脆 弱 性 Cogent DataHub における HTTP ヘッダ インジェクションの 脆 弱 性 Active! mail 6 における HTTP ヘッダ インジェクションの 脆 弱 性 根 本 的 解 決 7-(i)-a ヘッダの 出 力 を 直 接 行 わず ウェブアプリケーションの 実 行 環 境 や 言 語 に 用 意 されて いるヘッダ 出 力 用 API を 使 用 する ウェブアプリケーションの 実 行 環 境 によっては Content-Type フィールドをはじめとする HTTP レス ポンスヘッダを プログラムで 直 接 出 力 するものがあります このような 場 合 に フィールド 値 に 式 の 値 をそのまま 出 力 すると 外 部 から 与 えられた 改 行 コードが 余 分 な 改 行 として 差 し 込 まれることになりま す HTTP ヘッダは 改 行 によって 区 切 られる 構 造 となっているため これを 許 すと 任 意 のヘッダフィー ルドや 任 意 のボディを 注 入 されたり レスポンスを 分 割 されたりする 原 因 となります ヘッダの 構 造 は 継 続 行 が 許 される 等 単 純 なものではありませんので 実 行 環 境 に 用 意 されたヘッダ 出 力 用 の API を 使 用 することをお 勧 めします ただし 実 行 環 境 によっては ヘッダ 出 力 API が 改 行 コードを 適 切 に 処 理 しない 脆 弱 性 が 指 摘 され ているものもあります その 場 合 には 修 正 パッチを 適 用 するか 適 用 できない 場 合 には 次 の 7-(i)-b または 7-(ii) の 対 策 をとります 7-(i)-b 改 行 コードを 適 切 に 処 理 するヘッダ 出 力 用 API を 利 用 できない 場 合 は 改 行 を 許 可 しないよう 開 発 者 自 身 で 適 切 な 処 理 を 実 装 する 例 えば 改 行 の 後 に 空 白 を 入 れることで 継 続 行 として 処 理 する 方 法 や 改 行 コード 以 降 の 文 字 を 削 36

39 1.7 HTTP ヘッダ インジェクション 除 する 方 法 31 改 行 が 含 まれていたらウェブページ 生 成 の 処 理 を 中 止 する 方 法 等 が 考 えられます 保 険 的 対 策 7-(ii) 外 部 からの 入 力 の 全 てについて 改 行 コードを 削 除 する 外 部 からの 入 力 の 全 てについて 改 行 コードを 削 除 します あるいは 改 行 コードだけでなく 制 御 コ ード 全 てを 削 除 してもよいかもしれません ただし ウェブアプリケーションが TEXTAREA の 入 力 デー タ 等 改 行 コードを 含 みうる 文 字 列 を 受 け 付 ける 必 要 がある 場 合 には この 対 策 のように 一 律 に 全 て の 入 力 に 対 して 処 理 を 行 うと 対 策 を 実 施 したウェブアプリケーションが 正 しく 動 作 しなくなるため 注 意 が 必 要 です 以 上 の 対 策 により HTTP ヘッダ インジェクション 攻 撃 に 対 する 安 全 性 の 向 上 が 期 待 できます HTTP ヘッダ インジェクションの 脆 弱 性 に 関 する 情 報 については 次 の 資 料 も 参 考 にしてください CWE CWE-113: Improper Neutralization of CRLF Sequences in HTTP Headers ('HTTP Response Splitting') 参 考 URL IPA: 知 っていますか? 脆 弱 性 (ぜいじゃくせい) 7. HTTP ヘッダ インジェクション の 修 正 例 を 参 照 37

40 1.8 メールヘッダ インジェクション 1.8 メールヘッダ インジェクション ウェブアプリケーションの 中 には 利 用 者 が 入 力 した 商 品 申 し 込 みやアンケート 等 の 内 容 を 特 定 のメ ールアドレスに 送 信 する 機 能 を 持 つものがあります 一 般 に このメールアドレスは 固 定 で ウェブアプリ ケーションの 管 理 者 以 外 の 人 は 変 更 できませんが 実 装 によっては 外 部 の 利 用 者 がこのメールアドレ スを 自 由 に 指 定 できてしまう 場 合 があります このような 問 題 を 引 き 起 こす 脆 弱 性 を メールヘッダ イン ジェクション と 呼 び それを 悪 用 した 攻 撃 を メールヘッダ インジェクション 攻 撃 と 呼 びます メール ヘッダインジェクション メール 送 信 機 能 を 持 つウェブアプリケーションに 問 題 がある 場 合 管 理 者 が 設 定 した 本 来 固 定 のメールアドレスで はない 宛 先 にメールを 送 信 され 迷 惑 メールの 送 信 に 悪 用 される 可 能 性 があります 通 常 の 処 理 ウェブサイト 利 用 者 通 常 の 入 力 値 管 理 者 ( 宛 先 A) 管 理 者 が 設 定 し た 固 定 の 宛 先 A 通 常 の 処 理 では 管 理 者 が 設 定 し た 宛 先 にメールが 送 信 される 問 題 の 処 理 悪 意 のある 人 細 工 された 入 力 値 メールヘッダ インジェクションの 脆 弱 性 がある ウェブ アプリケーション 管 理 者 が 設 定 してい ない 宛 先 X,Y,Z 悪 意 のある 人 に 指 定 され た 任 意 の 宛 先 (X,Y,X) にメールが 送 信 される 迷 惑 メール の 送 信 宛 先 X 宛 先 Y 宛 先 Z 発 生 しうる 脅 威 メールヘッダ インジェクション 攻 撃 が 行 われた 場 合 発 生 しうる 脅 威 は 次 のとおりです - メールの 第 三 者 中 継 迷 惑 メールの 送 信 に 悪 用 される 注 意 が 必 要 なウェブサイトの 特 徴 利 用 者 が 入 力 した 内 容 を 管 理 者 宛 にメールで 送 信 する 機 能 を 実 装 しているウェブサイトが メールの 第 三 者 中 継 による 影 響 を 受 けます 該 当 する 機 能 には 問 い 合 わせページ や アンケート 等 があり ます 届 出 状 況 メールの 第 三 者 中 継 が 可 能 な 脆 弱 性 の 届 出 は ウェブサイトの 届 出 全 体 に 占 める 割 合 は 1 パーセン 38

41 1.8 メールヘッダ インジェクション ト 未 満 と 多 くはありません 受 付 開 始 当 初 から 断 続 的 に 届 出 を 受 けています 下 記 は IPA が 届 出 を 受 け 同 脆 弱 性 の 対 策 が 施 されたソフトウェア 製 品 の 例 です サイボウズ ガルーン におけるメールヘッダ インジェクションの 脆 弱 性 CGI RESCUE 製 フォームメール におけるメールの 不 正 送 信 が 可 能 な 脆 弱 性 MailDwarf においてメールの 不 正 送 信 が 可 能 な 脆 弱 性 根 本 的 解 決 8-(i)-a メールヘッダを 固 定 値 にして 外 部 からの 入 力 はすべてメール 本 文 に 出 力 する To Cc Bcc Subject 等 のメールヘッダの 内 容 が 外 部 からの 入 力 に 依 存 する 場 合 や メー ル 送 信 プログラムへの 出 力 処 理 に 問 題 がある 場 合 外 部 からの 入 力 をそのまま 出 力 すると 外 部 から 与 えられた 改 行 コードが 余 分 な 改 行 として 差 し 込 まれることになります これを 許 すと 任 意 のメールヘ ッダの 挿 入 や メール 本 文 の 改 変 任 意 の 宛 先 へのメール 送 信 に 悪 用 される 原 因 となります 外 部 からの 入 力 をメールヘッダに 出 力 しない 実 装 32 をお 勧 めします 8-(i)-b メールヘッダを 固 定 値 にできない 場 合 ウェブアプリケーションの 実 行 環 境 や 言 語 に 用 意 されているメール 送 信 用 API を 使 用 する メールヘッダを 固 定 値 にできない 場 合 の 例 としては メールの 件 名 を 変 更 したい 場 合 等 があります 外 部 からの 入 力 をメールヘッダに 出 力 する 場 合 ウェブアプリケーションの 実 行 環 境 や 言 語 に 用 意 されているメール 送 信 用 API を 使 用 することをお 勧 めします ただし API によっては 改 行 コードの 取 り 扱 いが 不 適 切 なもの 複 数 のメールヘッダが 挿 入 できる 仕 様 のものがあります その 場 合 脆 弱 性 が 修 正 されたバージョンを 使 用 するか 改 行 を 許 可 しないよう 開 発 者 自 身 で 適 切 な 処 理 を 実 装 します 改 行 を 許 可 しない 適 切 な 処 理 には 改 行 コードの 後 に 空 白 か 水 平 タブを 入 れることで 継 続 行 として 処 理 する 方 法 や 改 行 コード 以 降 の 文 字 を 削 除 する 方 法 改 行 が 含 まれていたらウェブページの 生 成 の 処 理 を 中 止 する 方 法 等 が 考 えられます 8-(ii) HTML で 宛 先 を 指 定 しない これは いわば 論 外 の 実 装 ですが hidden パラメータ 等 に 宛 先 をそのまま 指 定 するという 事 例 の 届 出 がありましたので 避 けるべき 実 装 として 紹 介 します ウェブアプリケーションに 渡 されるパラメータに 宛 先 を 直 接 指 定 する 実 装 は パラメータ 値 の 改 変 に より メールシステムの 第 三 者 中 継 につながる 可 能 性 があります の 修 正 例 1 を 参 照 39

42 1.8 メールヘッダ インジェクション 保 険 的 対 策 8-(iii) 外 部 からの 入 力 の 全 てについて 改 行 コードを 削 除 する 外 部 からの 入 力 の 全 てについて 改 行 コードを 削 除 します 33 あるいは 改 行 コードだけではなく 制 御 コード 全 てを 削 除 してもよいかもしれません ただし ウェブアプリケーションが メール 本 文 に 出 力 するデータ 等 改 行 コードを 含 みうる 文 字 列 にも 全 ての 入 力 に 対 して 処 理 を 行 うと そのウェブアプリ ケーションが 正 しく 動 作 しなくなるため 注 意 が 必 要 です 以 上 の 対 策 により メールヘッダ インジェクション 攻 撃 に 対 する 安 全 性 の 向 上 が 期 待 できます メー ルヘッダ インジェクションに 関 する 情 報 については 次 の 資 料 も 参 考 にしてください CWE CWE-93: Improper Neutralization of CRLF Sequences ('CRLF Injection') 参 考 URL IPA: 知 っていますか? 脆 弱 性 (ぜいじゃくせい) 10. メール 不 正 中 継 の 修 正 例 2 を 参 照 40

43 1.9 クリックジャッキング 1.9 クリックジャッキング ウェブサイトの 中 には ログイン 機 能 を 設 け ログインしている 利 用 者 のみが 使 用 可 能 な 機 能 を 提 供 し ているものがあります 該 当 する 機 能 がマウス 操 作 のみで 使 用 可 能 な 場 合 細 工 された 外 部 サイトを 閲 覧 し 操 作 することにより 利 用 者 が 誤 操 作 し 意 図 しない 機 能 を 実 行 させられる 可 能 性 があります この ような 問 題 を クリックジャッキングの 脆 弱 性 と 呼 び 問 題 を 悪 用 した 攻 撃 を クリックジャッキング 攻 撃 と 呼 びます 罠 ページの 仕 組 み 罠 ページの 上 に サイトAをiframeで 重 ね 合 わせ 見 た 目 を 透 明 にする ブラウザから 閲 覧 した 際 には 罠 ペー ジのみ 表 示 されているように 見 える ココと 罠 ページ ココをクリック 罠 ページ 上 のコンテンツをクリック したつもりが 実 際 にはサイトA 上 の コンテンツをクリックしてしまう 罠 ページ クリック 41

44 1.9 クリックジャッキング 発 生 しうる 脅 威 クリックジャッキング 攻 撃 により 発 生 しうる 脅 威 は 次 のとおりです マウス 操 作 のみで 実 行 可 能 な 処 理 に 限 定 される 点 以 外 は CSRF 攻 撃 による 脅 威 と 同 様 です - ログイン 後 の 利 用 者 のみが 利 用 可 能 なサービスの 悪 用 利 用 者 が 意 図 しない 情 報 発 信 利 用 者 が 意 図 しない 退 会 処 理 等 - ログイン 後 の 利 用 者 のみが 編 集 可 能 な 設 定 の 変 更 利 用 者 情 報 の 公 開 範 囲 の 意 図 しない 変 更 等 注 意 が 必 要 なウェブサイトの 特 徴 ログイン 後 の 利 用 者 のみが 利 用 可 能 な 機 能 (サービスや 設 定 )を マウス 操 作 のみで 実 行 可 能 なウェ ブサイトが クリックジャッキング 攻 撃 による 影 響 を 受 ける 可 能 性 があります マウス 操 作 のみで 実 行 可 能 な 処 理 が 利 用 者 に 紐 づいた 情 報 の 公 開 範 囲 の 変 更 処 理 等 の 場 合 は 攻 撃 による 被 害 が 大 きくなる ため 特 に 注 意 が 必 要 です また 対 策 を 実 施 した 場 合 後 述 する 副 作 用 が 発 生 します そのため ウェブサイトの 情 報 セキュリテ ィポリシーや 副 作 用 等 を 加 味 して クリックジャッキングの 脆 弱 性 対 策 の 実 施 有 無 を 検 討 してください 届 出 状 況 クリックジャッキングの 脆 弱 性 に 関 するウェブサイトの 届 出 は 2011 年 に 初 めて 受 け 付 けました ウェ ブサイトの 届 出 全 体 に 占 める 割 合 は 1 パーセント 未 満 と 多 くはありません しかしながらこれらの 脆 弱 性 については 2011 年 から 継 続 して 届 出 を 受 けています なお 届 出 受 付 開 始 から 2014 年 第 4 四 半 期 までに ソフトウェア 製 品 の 届 出 は 受 け 付 けていません 根 本 的 解 決 9-(i)-a HTTP レスポンスヘッダに X-Frame-Options ヘッダフィールドを 出 力 し 他 ドメ インのサイトからの frame 要 素 や iframe 要 素 による 読 み 込 みを 制 限 する X-Frame-Options は ウェブアプリケーションをクリックジャッキング 攻 撃 から 防 御 するためのヘッダ です 34 HTTP のレスポンスヘッダに X-Frame-Options: DENY のように 出 力 することで X-Frame- Options に 対 応 したブラウザにおいて frame 要 素 や iframe 要 素 によるページ 読 み 込 みの 制 限 ができ ます なお Internet Explorer 7 は X-Frame-Options ヘッダに 対 応 していないため 本 対 策 を 実 施 し たとしても 当 該 ブラウザにおいてはクリックジャッキング 攻 撃 を 防 げません X-Frame-Options で 指 定 する 設 定 値 により 制 限 の 範 囲 が 変 わります 設 定 値 の 挙 動 は 下 記 表 の 通 りです なお ALLOW-FROM はブラウザによって 適 切 に 動 作 しない 場 合 があります 開 発 している ウェブアプリケーションがサポート 予 定 のブラウザの 対 応 状 況 を 調 査 した 上 で 当 該 設 定 値 の 使 用 を 検 討 してください 34 RFC7034: HTTP Header Field X-Frame-Options 42

45 1.9 クリックジャッキング 設 定 値 DENY SAMEORIGIN ALLOW-FROM frame 要 素 および iframe 要 素 により 表 示 できる 範 囲 すべてのウェブページにおいてフレーム 内 の 表 示 を 禁 止 同 一 オリジンのウェブページのみフレーム 内 の 表 示 を 許 可 指 定 したオリジンのウェブページのみフレーム 内 の 表 示 を 許 可 9-(i)-b 処 理 を 実 行 する 直 前 のページで 再 度 パスワードの 入 力 を 求 め 実 行 ページでは 再 度 入 力 されたパスワードが 正 しい 場 合 のみ 処 理 を 実 行 する 処 理 の 実 行 前 にパスワード 認 証 を 行 うことにより クリックジャッキングの 脆 弱 性 を 解 消 できます た だし この 方 法 は 画 面 設 計 の 仕 様 変 更 を 要 する 対 策 であるため 画 面 設 計 の 仕 様 変 更 をせず 実 装 の 変 更 だけで 対 策 をする 必 要 がある 場 合 には 9-(i)-a の 対 策 を 検 討 してください 保 険 的 対 策 9-(ii) 重 要 な 処 理 は 一 連 の 操 作 をマウスのみで 実 行 できないようにする クリックジャッキング 攻 撃 は 利 用 者 を 視 覚 的 に 騙 して 特 定 の 操 作 をするように 誘 導 します そのた め 利 用 者 に 複 雑 な 操 作 をさせることは 困 難 です マウス 操 作 のみで 処 理 が 実 行 されないように キ ーボード 操 作 などを 挟 むことで 攻 撃 の 成 功 率 を 下 げることができます 以 上 の 対 策 により クリックジャッキング 攻 撃 に 対 する 安 全 性 の 向 上 が 期 待 できます クリックジャッキ ングの 脆 弱 性 に 関 する 情 報 については 次 の 資 料 も 参 考 にしてください 対 応 する CWE 直 接 対 応 する CWE はありません 参 考 URL IPA: テクニカルウォッチ クリックジャッキング に 関 するレポート 43

46 1.10 バッファオーバーフロー 1.10 バッファオーバーフロー ウェブアプリケーションを 含 む あらゆるプログラムは 指 示 された 処 理 を 行 うためにメモリ 上 に 自 身 が 使 用 する 領 域 を 確 保 します プログラムが 入 力 されたデータを 適 切 に 扱 わない 場 合 プログラムが 確 保 したメモリの 領 域 を 超 えて 領 域 外 のメモリを 上 書 きされ 意 図 しないコードを 実 行 してしまう 可 能 性 があり ます このような 問 題 を バッファオーバーフローの 脆 弱 性 と 呼 び この 問 題 を 悪 用 した 攻 撃 を バッファ オーバーフロー 攻 撃 と 呼 びます バッファオーバーフロー バッファオーバーフローの 脆 弱 性 がある 場 合 悪 意 あるリクエストにより ウェブサーバ 側 で 任 意 のコードを 実 行 させられたり ウェブアプリケーションが 異 常 終 了 する 可 能 性 があります 悪 意 のある 人 バッファオーバーフローを 起 こす 攻 撃 リクエスト ウェブサイト 異 常 終 了 コード 実 行 バッファオーバーフローの 脆 弱 性 が あるウェブアプリケーション 発 生 しうる 脅 威 バッファオーバーフローにより 発 生 しうる 脅 威 は 次 のとおりです - プログラムの 異 常 終 了 意 図 しないサービス 停 止 - 任 意 のコード 実 行 ウイルス ワーム ボット 等 への 感 染 バックドアの 設 置 他 のシステムへの 攻 撃 重 要 情 報 の 漏 えい 等 注 意 が 必 要 なウェブサイトの 特 徴 バッファオーバーフローは C C++ アセンブラなどの 直 接 メモリを 操 作 できる 言 語 で 記 述 されている 場 合 に 起 こります これらの 言 語 を 使 って 開 発 されたウェブアプリケーションを 利 用 しているサイトは 注 意 が 必 要 です 現 在 のウェブアプリケーションのほとんどは PHP や Perl Java などの 直 接 メモリを 操 作 できない 言 語 を 使 っており バッファオーバーフローの 脆 弱 性 の 影 響 を 受 ける 可 能 性 は 低 いといえますが PHP や Perl Java のライブラリの 中 にはバッファオーバーフローの 脆 弱 性 が 存 在 していたものがあります 44

47 1.10 バッファオーバーフロー 届 出 状 況 バッファオーバーフローの 脆 弱 性 がウェブサイトに 見 つかったという 届 出 を 受 けたことはありません ソ フトウェア 製 品 においては 全 体 の 数 パーセント 程 度 と 多 くはありませんが 継 続 的 に 届 出 を 受 けていま す 下 記 は IPA が 届 出 を 受 け 同 脆 弱 性 の 対 策 が 施 されたソフトウェア 製 品 の 例 です 複 数 のサイボウズ 製 品 におけるバッファオーバーフローの 脆 弱 性 Oracle Outside In におけるバッファオーバーフローの 脆 弱 性 茶 筌 (ChaSen) におけるバッファオーバーフローの 脆 弱 性 根 本 的 解 決 10-(i)-a 直 接 メモリにアクセスできない 言 語 で 記 述 する ウェブアプリケーションを 直 接 メモリ 操 作 できない 言 語 で 記 述 することで バッファオーバーフローの 脆 弱 性 が 作 りこまれることを 防 げます 現 在 のウェブアプリケーションの 多 くは 直 接 メモリを 操 作 できない 言 語 (PHP Perl Java など)で 記 述 されており これらの 言 語 で 作 成 されたウェブアプリケーションではバッ ファオーバーフローの 問 題 は 発 生 しません 10-(i)-b 直 接 メモリにアクセスできる 言 語 で 記 述 する 部 分 を 最 小 限 にする プログラムの 内 部 で C C++ アセンブラなどの 直 接 メモリにアクセスできる 言 語 で 記 述 された 独 自 の プログラムを 呼 び 出 す 場 合 は その 呼 び 出 されるプログラムにバッファオーバーフローの 脆 弱 性 が 存 在 する 可 能 性 があります この 直 接 メモリ 操 作 可 能 な 言 語 で 記 述 作 成 された 部 分 を 最 小 限 にし その 部 分 にバッファオーバーフローの 脆 弱 性 がないことを 集 中 的 に 確 認 します 10-(ii) 脆 弱 性 が 修 正 されたバージョンのライブラリを 使 用 する 一 般 に 流 通 しているライブラリを 使 用 する 場 合 古 いライブラリの 中 にはバッファオーバーフローの 脆 弱 性 が 存 在 する 場 合 があるので 脆 弱 性 が 修 正 されたバージョンを 使 用 してください 対 応 する CWE CWE-119(バッファエラー) CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer 45

48 1.11 アクセス 制 御 や 認 可 制 御 の 欠 落 1.11 アクセス 制 御 や 認 可 制 御 の 欠 落 ウェブサイトの 中 には 運 営 者 のセキュリティに 対 する 認 識 のなさから 不 適 切 な 設 計 で 作 成 されたウ ェブサイトが 運 用 されていることがあります 本 節 では 脆 弱 性 関 連 情 報 として 届 出 を 受 けた アクセス 制 御 や 認 可 制 御 等 の 機 能 欠 落 に 伴 う 脆 弱 性 についての 対 策 を 紹 介 します アクセス 制 御 の 欠 落 根 本 的 解 決 11-(i) アクセス 制 御 機 能 による 防 御 措 置 が 必 要 とされるウェブサイトには パスワード 等 の 秘 密 情 報 の 入 力 を 必 要 とする 認 証 機 能 を 設 ける ウェブサイトで 非 公 開 とされるべき 情 報 を 取 り 扱 う 場 合 や 利 用 者 本 人 にのみデータの 変 更 や 編 集 を 許 可 することを 想 定 する 場 合 等 には アクセス 制 御 機 能 の 実 装 が 必 要 です しかし たとえば 個 人 情 報 を 閲 覧 する 機 能 にアクセスするにあたり メールアドレスのみでログイン できてしまうウェブサイトが 脆 弱 なウェブサイトとして 届 出 を 受 けた 例 があります 一 般 に メールアドレスは 他 人 にも 知 られ 得 る 情 報 であり そのような 情 報 の 入 力 だけで 個 人 情 報 を 閲 覧 できてしまうのは アクセス 制 御 機 能 が 欠 落 していると 言 えます 35 パスワード 等 (みだりに 第 三 者 に 知 らせてはならないものとして 一 般 に 考 えられている 情 報 )の 入 力 を 必 要 とするようにウェブアプリケーションを 設 計 し 実 装 してください 認 可 制 御 の 欠 落 根 本 的 解 決 11-(ii) 認 証 機 能 に 加 えて 認 可 制 御 の 処 理 を 実 装 し ログイン 中 の 利 用 者 が 他 人 になりすま してアクセスできないようにする ウェブサイトにアクセス 制 御 機 能 を 実 装 して 利 用 者 本 人 にのみデータの 閲 覧 や 変 更 等 の 操 作 を 許 可 する 際 複 数 の 利 用 者 の 存 在 を 想 定 する 場 合 には どの 利 用 者 にどの 操 作 を 許 可 するかを 制 御 す る 認 可 (Authorization) 制 御 の 実 装 が 必 要 となる 場 合 があります アクセス 制 御 機 能 が 装 備 されたウェブアプリケーションの 典 型 的 な 実 装 では ログインした 利 用 者 に セッション ID を 発 行 してセッション 管 理 を 行 い アクセスごとにセッション ID からセッション 変 数 等 を 介 し て 利 用 者 ID を 取 得 できるように 構 成 されています 単 純 な 機 能 のウェブアプリケーションであれば そ 35 不 正 アクセス 行 為 の 禁 止 等 に 関 する 法 律 では 第 二 条 第 二 項 で 識 別 符 号 を 定 義 しており その 第 一 号 では 当 該 アクセス 管 理 者 によってその 内 容 をみだりに 第 三 者 に 知 らせてはならないものとされている 符 号 と 定 義 しています この 定 義 に 従 うと メールアドレスは 識 別 符 号 に 該 当 しないと 解 釈 され メールアドレスだけでログインする 仕 組 みは ア クセス 制 御 機 能 に 該 当 しないと 解 される 可 能 性 があります 不 正 アクセス 行 為 の 禁 止 等 に 関 する 法 律 : 46

49 1.11 アクセス 制 御 や 認 可 制 御 の 欠 落 の 利 用 者 ID をキーとしてデータベースの 検 索 や 変 更 を 行 うように 実 装 することができ この 場 合 は 利 用 者 のデータベースエントリしか 操 作 されることはないので 認 可 制 御 は 結 果 的 に 実 装 されていると 言 えます しかし ウェブサイトによっては 利 用 者 ID を URL や POST のパラメータに 埋 め 込 んでいる 画 面 が 存 在 することがあります そのような 外 部 から 与 えられる 利 用 者 ID をキーにしてデータベースを 操 作 す る 実 装 になっていると ログイン 中 の 利 用 者 ならば 他 の 利 用 者 になりすまして 操 作 できてしまうという 脆 弱 性 となります これは 認 可 制 御 が 実 装 されていないために 生 じる 脆 弱 性 です データベースを 検 索 するための 利 用 者 ID が ログイン 中 の 利 用 者 ID と 一 致 しているかを 常 に 確 認 するよう 実 装 するか または 利 用 者 ID を 外 部 から 与 えられるパラメータから 取 得 しないで セッション 変 数 から 取 得 するようにします また 他 の 例 として たとえば 注 文 番 号 等 をキーとしてデータベースの 検 索 や 変 更 を 行 う 機 能 を 持 つ ウェブアプリケーションの 場 合 注 文 番 号 が URL や POST のパラメータで 与 えられる 実 装 になっている と ログイン 中 の 利 用 者 であれば 他 人 用 に 発 行 された 注 文 番 号 を URL や POST のパラメータに 指 定 することによって 他 の 利 用 者 にしか 閲 覧 できないはずの 注 文 情 報 等 を 閲 覧 することができてしまう 脆 弱 性 が 生 じることがあります これも 認 可 制 御 が 実 装 されていないために 生 じる 脆 弱 性 です データベースを 検 索 するための 注 文 番 号 が ログイン 中 の 利 用 者 に 閲 覧 を 許 可 された 番 号 であるかどうかを 常 に 確 認 するように 実 装 し てください 47

50 2.1 ウェブサーバのセキュリティ 対 策 2. ウェブサイトの 安 全 性 向 上 のための 取 り 組 み ここでは ウェブサイト 全 体 の 安 全 性 を 向 上 するための 取 り 組 みを 掲 載 しています 前 章 ウェブアプリ ケーションのセキュリティ 実 装 では 設 計 や 実 装 レベルでの 解 決 や 対 策 を 示 しましたが ここで 取 り 上 げ ている 内 容 は 主 に 運 用 レベルでの 解 決 や 対 策 です 2.1 ウェブサーバに 関 する 対 策 ウェブサイトを 安 全 に 運 営 するためには ウェブアプリケーションのセキュリティ 実 装 だけではなく ウェ ブサーバのセキュリティ 対 策 も 考 慮 する 必 要 があります 以 下 を 参 考 に 管 理 しているウェブサーバの 設 定 や 運 用 に 問 題 がないかを 確 認 してください 1) OS やソフトウェアの 脆 弱 性 情 報 を 継 続 的 に 入 手 し 脆 弱 性 への 対 処 を 行 う OS やソフトウェアの 脆 弱 性 をついた 攻 撃 を 受 けると たとえサーバへのアクセスに 認 証 をかけていて も 不 正 侵 入 されてしまう 場 合 があります 脆 弱 性 は 日 々 発 見 されるので OS やソフトウェアの 開 発 者 から 提 供 される 脆 弱 性 情 報 を 継 続 的 に 入 手 し ソフトウェアの 更 新 や 問 題 の 回 避 を 行 ってください 2) ウェブサーバをリモート 操 作 する 際 の 認 証 方 法 として パスワード 認 証 以 外 の 方 法 を 検 討 する サーバ 管 理 の 上 で ウェブサーバのリモート 操 作 を 許 可 する 運 用 は 一 般 的 ですが その 際 の 認 証 方 法 にパスワード 認 証 のみを 利 用 している 場 合 総 当 り 攻 撃 等 により パスワード 認 証 を 突 破 されてし まう 可 能 性 があります より 高 い 安 全 性 を 確 保 するための 方 法 として 暗 号 技 術 に 基 づく 公 開 鍵 認 証 等 の 利 用 を 検 討 することをお 勧 めします 3) パスワード 認 証 を 利 用 する 場 合 は 十 分 に 複 雑 な 文 字 列 を 設 定 する ウェブサーバへ 接 続 する 際 のパスワードには 十 分 に 複 雑 な 文 字 列 を 設 定 してください また パス ワードの 運 用 について 下 記 情 報 を 参 考 にすることをお 勧 めします 4) 不 要 なサービスやアカウントを 停 止 または 削 除 する ウェブサイト 運 営 に 必 要 のないサービスがウェブサーバ 上 で 稼 動 している 場 合 そのサービスに 対 する 管 理 が 十 分 でなく 脆 弱 性 が 存 在 するバージョンをそのまま 利 用 している 可 能 性 等 が 考 えられま す また 用 途 が 明 確 でないユーザアカウントが 存 在 している 場 合 そのアカウントに 対 する 管 理 が 十 分 でなく 不 正 利 用 される 可 能 性 が 考 えられます 必 要 の 無 いサービスやアカウントは 停 止 または 削 除 してください 48

51 2.2 DNS に 関 する 対 策 5) 公 開 を 想 定 していないファイルを ウェブ 公 開 用 のディレクトリ 以 下 に 置 かない ウェブ 公 開 用 のディレクトリに 保 管 されているファイル 群 は 基 本 的 に 外 部 から 閲 覧 することが 可 能 です 公 開 ウェブページにファイルへのリンクが 無 くても 外 部 から 直 接 指 定 することで 閲 覧 されてしま います 公 開 を 想 定 していないファイルは ウェブ 公 開 用 のディレクトリに 保 管 しないようにしてください 参 考 URL IPA セキュリティセンター JVN (Japan Vulnerability Notes) JVN ipedia 脆 弱 性 対 策 情 報 データベース IPA: パスワードの 管 理 と 注 意 IPA: テクニカルウォッチ ウェブサイト 改 ざんの 脅 威 と 対 策 IPA: ウェブサイトの 攻 撃 兆 候 検 出 ツール ilogscanner DNS に 関 する 対 策 DNS はインターネット 上 でドメイン 名 を 管 理 運 用 するためのシステムです DNS により ドメイン 名 を 指 定 するだけで 該 当 するウェブサイトへのアクセスやメールの 送 受 信 が 可 能 になります そのため DNS に 問 題 が 発 生 すると ウェブサイトや 電 子 メール 等 のインターネットを 利 用 するサービス 全 てに 影 響 が 及 びます 以 下 を 参 考 に 管 理 している DNS サーバの 設 定 や 運 用 に 問 題 がないかを 確 認 してくださ い 1) ドメイン 名 およびその DNS サーバの 登 録 状 況 を 調 査 し 必 要 に 応 じて 対 処 を 行 う ウェブサイトが 利 用 しているドメイン 名 およびその DNS サーバについて 問 題 のある 運 用 や 設 定 は 悪 意 ある 人 によるドメイン 名 乗 っ 取 りにつながる 可 能 性 があります ドメイン 名 の 乗 っ 取 りを 行 われた 場 合 利 用 者 が 本 物 のウェブサイトの URL を 指 定 しても そのドメイン 名 を 乗 っ 取 った 人 が 用 意 したウ ェブサイトに 接 続 してしまいます ドメイン 名 およびその DNS サーバについて 登 録 状 況 を 確 認 し 必 要 に 応 じて 対 処 を 行 ってください 2) DNS ソフトウェアの 更 新 や 設 定 を 見 直 す DNS を 狙 った 攻 撃 として キャッシュポイズニング 攻 撃 やリフレクター 攻 撃 水 責 め 攻 撃 が 存 在 しま 49

52 2.2 DNS に 関 する 対 策 す DNS ソフトウェアの 設 定 不 備 や 古 いバージョンが 原 因 となり キャッシュポイズニング 攻 撃 の 場 合 は 被 害 を 受 けやすくなり リフレクター 攻 撃 や 水 責 め 攻 撃 の 場 合 は 踏 み 台 に 悪 用 される 可 能 性 が 高 ま ります これらの 攻 撃 は DNS の 仕 組 みを 悪 用 しているため 完 全 に 防 ぐことは 困 難 ですが DNS ソフ トウェアの 更 新 や 設 定 変 更 をすることで 影 響 を 緩 和 することができます また DNS ソフトウェア 自 体 に 脆 弱 性 が 見 つかることもあります 脆 弱 性 をついた 攻 撃 を 受 けると DNS サーバが 異 常 終 了 する 場 合 があります ソフトウェアの 開 発 者 から 提 供 される 脆 弱 性 情 報 を 継 続 的 に 入 手 し ソフトウェアの 更 新 や 問 題 の 回 避 を 行 ってください DNS サーバの 運 用 を 外 部 に 委 託 している 場 合 は その 委 託 先 に 対 処 を 依 頼 する 必 要 があります DNS に 関 する 攻 撃 や 対 策 の 詳 細 については 次 の 資 料 を 参 考 にしてください 参 考 URL IPA: ドメイン 名 の 登 録 と DNS サーバの 設 定 に 関 する 注 意 喚 起 JPRS: 登 録 情 報 の 不 正 書 き 換 えによるドメイン 名 ハイジャックとその 対 策 について JPRS: キャッシュポイズニング 攻 撃 対 策 : 権 威 DNS サーバー 運 用 者 向 け 基 本 対 策 編 JPRS: キャッシュポイズニング 攻 撃 対 策 : キャッシュ DNS サーバー 運 用 者 向 け 基 本 対 策 編 JPCERT/CC: オープンリゾルバ 確 認 サイト 公 開 のお 知 らせ JPRS:Bot 経 由 でDNSサーバーを 広 く 薄 く 攻 撃 ~DNS 水 責 め 攻 撃 の 概 要 と 対 策 ~ JPRS: DNS 関 連 技 術 情 報 50

53 2.3 ネットワーク 盗 聴 への 対 策 2.3 ネットワーク 盗 聴 への 対 策 ウェブサイトと 利 用 者 の 間 で 交 わされる 情 報 は ネットワークの 盗 聴 によって 不 正 に 取 得 される 可 能 性 があります 通 信 や 情 報 が 暗 号 化 されていない 場 合 盗 聴 によって 取 得 された 情 報 が 悪 用 され なりす まし 等 につながる 可 能 性 があります ネットワーク 盗 聴 通 信 が 暗 号 化 されていない 場 合 ネットワーク 上 を 流 れる 情 報 が 盗 聴 され 重 要 情 報 が 不 正 に 取 得 される 可 能 性 があります 利 用 者 暗 号 化 せずに 認 証 情 報 を 送 信 ウェブサイト ********* 盗 聴 によって 認 証 情 報 を 不 正 に 取 得 User : hanako Password : F0oB4rbA2 悪 意 のある 人 利 用 者 に 成 りすま し てアクセス 成 りすまし ネットワーク 盗 聴 はウェブサイトと 利 用 者 との 経 路 上 で 行 われるため この 行 為 自 体 をウェブサイト 側 の 運 用 や 設 定 のみで 防 ぐことは 困 難 です しかし 通 信 経 路 を 暗 号 化 すれば 盗 聴 を 受 けても 重 要 情 報 が 不 正 に 取 得 されることを 防 止 できます 特 に 認 証 情 報 や 個 人 情 報 を 扱 うウェブサイトでは ネットワー ク 盗 聴 への 対 策 として 次 の 内 容 を 検 討 してください 1) 重 要 な 情 報 を 取 り 扱 うウェブページでは 通 信 経 路 を 暗 号 化 する ウェブサイトで 通 信 を 暗 号 化 する 手 段 として SSL(Secure Socket Layer)や TLS(Transport Layer Security)を 用 いた HTTPS 通 信 があります パスワードでログインするページや 個 人 情 報 を 登 録 する ページ また 秘 密 にするべき 情 報 を 表 示 する 画 面 のページは で 始 まる URL として 通 信 経 路 を 暗 号 化 することをお 勧 めします 暗 号 化 したい 情 報 を 入 力 させる 画 面 では 送 信 先 の URL を とするだけでなく 入 力 画 面 も の URL としておく 必 要 があります そうしなければ 入 力 画 面 が 盗 聴 者 に 改 ざんされてい る 可 能 性 があり 利 用 者 が 改 ざんに 気 づかずに 入 力 すれば 差 し 替 えられた 別 のサイトに 送 信 されて しまったり 暗 号 化 されずに 送 信 されて 盗 聴 される 危 険 があるからです 利 用 者 は 入 力 画 面 が になっていることを 確 認 してから 入 力 しますので ウェブサイト 運 営 者 は そのような 確 認 がで きるようにしてください 利 用 者 がこの 確 認 を 怠 り の 画 面 でパスワード 等 を 入 力 してしまう 可 能 性 があるため それ を 防 止 する HSTS(HTTP Strict Transport Security) の 機 能 が 2012 年 に RFC 6797 で 規 定 されまし た 最 新 の 主 要 なウェブブラウザはこれに 対 応 しています この 機 能 を 有 効 にするにはウェブサイト 側 51

54 2.3 ネットワーク 盗 聴 への 対 策 で 設 定 が 必 要 であり ウェブサーバのレスポンスヘッダに Strict-Transport-Security を 含 めるように 設 定 します そうすることで 一 度 そのサイトを 訪 れた 利 用 者 のブラウザは それ 以 降 そのサイトには でしか 接 続 しないようになります HSTS の 機 能 を 利 用 するには サイト 全 体 を の 画 面 とするよう 設 計 しなければなりません パスワードの 入 力 送 信 だけでなく ログイン 中 のセッションの 全 部 で HTTPS 通 信 が 使 われるようにし ます セッション 管 理 に 用 いるセッション ID を 格 納 する cookie には secure 属 性 を 加 えるようにします (4-(iii) 参 照 ) 2) 利 用 者 へ 通 知 する 重 要 情 報 は メールで 送 らず 暗 号 化 された 表 示 する ウェブサイトの 運 営 によっては ウェブサイトの 利 用 者 に 個 人 情 報 やパスワード 等 の 重 要 情 報 を 通 知 する 場 合 があります ここで ネットワークを 経 由 して 情 報 を 送 信 する 場 合 には 盗 聴 対 策 として 通 信 の 暗 号 化 か 重 要 情 報 の 暗 号 化 が 必 要 になります 暗 号 化 が 必 要 な 情 報 を 利 用 者 に 通 知 する 場 合 は HTTPS 通 信 を 利 用 し ウェブページに 表 示 することをお 勧 めします メールを 利 用 する 場 合 には メール 本 文 の 暗 号 化 として S/MIME(Secure / Multipurpose Internet Mail Extensions)や PGP(Pretty Good Privacy) 等 の 技 術 がありますが 利 用 者 側 に 暗 号 化 環 境 やプラ イベートキー( 秘 密 鍵 )が 必 要 となるため 現 実 的 ではないかもしれません 3) ウェブサイト 運 営 者 がメールで 受 け 取 る 重 要 情 報 を 暗 号 化 する ウェブページに 入 力 された 個 人 情 報 等 の 重 要 情 報 を ウェブアプリケーションに 実 装 されたメール 通 知 機 能 を 利 用 して ウェブサイト 運 営 者 がメールで 受 け 取 る 場 合 は S/MIME や PGP 等 を 利 用 してメー ルを 暗 号 化 するようにしてください S/MIME や PGP を 利 用 できない 場 合 には その 他 の 方 法 でメール 本 文 を 暗 号 化 するようにします なお 盗 聴 対 策 として メールサーバ 間 の 通 信 の 暗 号 化 (SMTP over SSL)やメールサーバとウェブ サイト 運 営 者 との 通 信 の 暗 号 化 (POP/IMAP over SSL) 等 も 考 えられますが ネットワーク 構 成 によっ ては 途 中 経 路 が 暗 号 化 されない 可 能 性 があるため 安 全 とは 言 えません 参 考 URL IPA: 電 子 メールのセキュリティ 電 子 メールの 安 全 性 を 高 める 技 術 の 利 用 法 IPA: 電 子 メールのセキュリティ S/MIME を 利 用 した 暗 号 化 と 電 子 署 名 52

55 2.4 フィッシング 詐 欺 を 助 長 しないための 対 策 2.4 フィッシング 詐 欺 を 助 長 しないための 対 策 フィッシング 詐 欺 とは 悪 意 のある 人 が 金 融 サイトやショッピングサイト 等 を 装 った 偽 のウェブサイトを 作 成 して 利 用 者 を 巧 みにそこへ 誘 導 して 利 用 者 の 認 証 情 報 やクレジットカード 番 号 等 を 不 正 に 取 得 するものです フィッシング 詐 欺 の 回 避 には 利 用 者 側 の 注 意 が 必 要 ですが ウェブサイトの 運 用 によっ ては 利 用 者 の 注 意 を 妨 げ 結 果 としてフィッシング 詐 欺 を 助 長 してしまう 場 合 があります フィッシング 詐 欺 利 用 者 を 誘 導 し 巧 妙 に 作 成 した 偽 のウェブサイトを 本 物 のウェブサイトと 勘 違 いさせ 入 力 された 認 証 情 報 や 個 人 情 報 を 入 手 するものです 本 物 のウェブサイト 悪 意 のある 人 が 用 意 した 偽 のウェブサイト 利 用 者 悪 意 のある 人 1. 偽 のウェブサイトを 本 物 のウェブサイト と 思 い 込 み 認 証 情 報 やクレジットカード 番 号 を 入 力 してしまう 2. 利 用 者 から 入 力 され た 重 要 情 報 を 入 手 する ウェブサイト 利 用 者 がフィッシング 詐 欺 の 被 害 に 遭 わないためには 利 用 者 自 身 がアクセスしたウェブ サイトを 注 意 深 く 確 認 し 本 物 のウェブサイトかどうかを 見 極 める 必 要 があります 利 用 者 が 本 物 のウェ ブサイトであることを 正 しく 確 認 できるよう ウェブサイト 運 営 者 は 次 の 点 を 検 討 してください 1) EV SSL 証 明 書 を 取 得 し サイトの 運 営 者 が 誰 であるかを 証 明 する サーバ 証 明 書 は SSL の 暗 号 化 通 信 を 正 しく 実 現 するために 必 要 なものですが 同 時 に ウェブサイ トの 運 営 者 が 誰 であるかを 証 明 する 目 的 でも 利 用 することができます EV SSL 証 明 書 を 用 いると HTTPS 通 信 でアクセスした 際 ブラウザのアドレスバーに 組 織 名 が 緑 色 で 表 示 されます 利 用 者 は パスワードやクレジットカード 番 号 等 を 入 力 する 画 面 で 閲 覧 中 のサイトの 運 営 者 が 誰 であるかを 確 認 できるようになります 2) フレームを 利 用 する 場 合 子 フレームの URL を 外 部 パラメータから 生 成 しないように 実 装 する フレームを 利 用 しているウェブページで 子 フレームの URL を 外 部 パラメータから 生 成 する 実 装 は フィッシング 詐 欺 に 悪 用 される 危 険 性 があります そのパラメータに 任 意 の URL を 指 定 したリンクを 仕 53

56 2.4 フィッシング 詐 欺 を 助 長 しないための 対 策 掛 けられた 場 合 そのリンクをアクセスした 利 用 者 は 本 物 サイトの 親 フレーム 内 に 偽 サイトのウェブ ページを 子 フレームとして 埋 め 込 まれた 画 面 を 閲 覧 することになります 表 示 上 のドメインは 本 物 であ るため 利 用 者 が 子 フレームを 偽 サイトと 見 分 けることは 困 難 です 3) 利 用 者 がログイン 後 に 移 動 するページをリダイレクト 機 能 で 動 的 に 実 装 しているウェ ブサイトについて リダイレクト 先 の URL として 使 用 されるパラメータの 値 には 自 サ イトのドメインのみを 許 可 するようにする ウェブサイトの 中 には 利 用 者 がログイン 後 に 閲 覧 可 能 な URL にログアウトした 状 態 でアクセスした 場 合 その URL 情 報 をパラメータの 値 等 で 保 持 してログイン 画 面 を 表 示 し ログイン 成 功 後 に そのパ ラメータの 値 を 利 用 して 改 めてリダイレクトするものがあります しかし この リダイレクト 先 の URL とし て 使 用 されるパラメータの 値 に 制 限 が 無 い 場 合 このパラメータに 罠 の URL を 指 定 されることにより フィッシング 詐 欺 に 悪 用 される 可 能 性 があります この 罠 にかかった 場 合 注 意 深 い 利 用 者 は 最 初 に 表 示 されるログイン 画 面 が 正 規 のウェブサイト であるかどうかは 確 認 するはずです そして このログイン 画 面 が 正 規 のウェブサイトであるため 安 心 してログインします しかし ログイン 後 にリダイレクトされるページが 偽 のウェブサイトであることま で 注 意 を 継 続 することはできないかもしれません たとえば リダイレクト 先 の 罠 ページが 正 規 のウ ェブサイトのログイン 画 面 とそっくりで ログイン 失 敗 再 入 力 を というメッセージがあった 場 合 あ れ パスワードを 間 違 えたかな? と 大 きな 疑 いを 抱 かずに 認 証 情 報 を 入 力 してしまうことが 予 想 され ます リダイレクト 先 の URL として 使 用 されるパラメータについては 任 意 の URL を 許 可 せず 自 サイトの ドメインのみを 許 可 するようにしてください かつ この 対 策 は リダイレクトを 利 用 している 全 てのウェ ブページに 対 して 漏 れなく 実 施 してください フィッシング 詐 欺 を 助 長 しないための 対 策 について 下 記 の 資 料 も 参 考 にしてください 参 考 URL IPA: PKI 関 連 技 術 解 説 認 証 局 と 電 子 証 明 書 産 業 技 術 総 合 研 究 所 : 安 全 な Web サイト 利 用 の 鉄 則 フィッシング 対 策 協 議 会 : フィッシング 対 策 ガイドラインの 改 訂 について 54

57 2.5 パスワードに 関 する 対 策 2.5 パスワードに 関 する 対 策 ウェブサイトにおける 利 用 者 の 認 証 は ユーザ ID とパスワードを 用 いる 方 法 が 一 般 的 です しかし パスワードの 運 用 やウェブページ 上 のパスワードの 取 り 扱 い 方 法 に 問 題 がある 場 合 利 用 者 の 認 証 情 報 が 悪 意 ある 人 に 不 正 取 得 される 危 険 性 が 高 まります 認 証 情 報 の 不 正 取 得 推 測 や 盗 み 見 により 利 用 者 IDやパスワードが 不 正 に 取 得 される 可 能 性 があります 悪 意 のある 人 誕 生 日? 住 所? 名 前? 利 用 者 ID と 同 じ? 辞 書 に 載 っている? 認 証 情 報 の 不 正 取 得 の 手 段 の 一 つに ユーザ ID やパスワードの 推 測 があります これは 推 測 さ れやすい 単 純 なパスワードで 運 用 している 場 合 に 悪 用 される 手 段 ですが ウェブページの 表 示 方 法 によ っては さらに 推 測 のヒントを 与 えてしまう 場 合 があります 利 用 者 の 認 証 を 行 うウェブサイトでは 次 の 内 容 に 注 意 してください 1) 初 期 パスワードは 推 測 が 困 難 な 文 字 列 で 発 行 する 初 期 パスワードは 暗 号 論 的 擬 似 乱 数 生 成 器 を 利 用 して 規 則 性 をなくし 可 能 であれば 英 数 字 や 記 号 を 含 めた 長 い 文 字 列 で 発 行 してください パスワード 発 行 に 規 則 性 がある 場 合 調 査 のためのテス トユーザを 複 数 登 録 され その 際 に 発 行 されたパスワードから 規 則 性 を 導 き 出 されてしまうかもしれま せん 利 用 者 によっては 初 期 パスワードを 変 更 せずに 継 続 して 利 用 することも 考 えられるため 初 期 パスワードが 推 測 しやすい 仕 様 は 避 けるべきです 2) パスワードの 変 更 には 現 行 パスワードの 入 力 を 求 める 3) パスワードの 変 更 には 必 ず 現 行 パスワードの 入 力 を 求 めるようにしてください 入 力 後 の 応 答 メッセージが 認 証 情 報 の 推 測 のヒントとならない 工 夫 をする 認 証 画 面 で 利 用 者 が 入 力 を 誤 った 際 遷 移 後 の 画 面 で パスワードが 間 違 っています というエラー メッセージを 表 示 するものは ユーザ ID は 正 しく パスワードが 間 違 っている ということを 示 している ことになります このような 表 示 内 容 は 登 録 されているユーザ ID の 割 り 出 しを 容 易 にしてしまうため 55

58 2.5 パスワードに 関 する 対 策 お 勧 めできません 入 力 後 の 応 答 メッセージには ユーザ ID もしくはパスワードが 違 います というよ うな 表 示 を 用 い 認 証 情 報 の 推 測 のヒントを 与 えない 工 夫 をしてください 4) 入 力 フィールドでは パスワードは 伏 せ 字 で 表 示 されるようにする 利 用 者 にパスワードを 入 力 させるときは ブラウザに 備 わっているパスワード 専 用 の 入 力 フィールド を 用 いるようにしてください これにより 入 力 したパスワード 文 字 列 は 伏 せ 字 (アスタリスク "*")で 表 示 されます 36 5) パスワードをサーバ 内 で 保 管 する 際 は 平 文 ではなくソルト 付 きハッシュ 値 の 形 で 保 管 する ウェブサイト 内 で 保 管 したパスワードが SQL インジェクション 攻 撃 などにより 外 部 に 漏 洩 した 場 合 パスワードリスト 攻 撃 等 の 不 正 ログインに 悪 用 される 可 能 性 が 高 くなります このため 万 一 パスワー ド 情 報 が 漏 洩 した 場 合 でも 直 ちに 悪 用 されることのないように パスワードを 保 護 した 形 で 保 管 します この 目 的 のためには パスワードのハッシュ 値 ( 暗 号 論 的 ハッシュ 関 数 により 計 算 )の 形 で 保 管 するこ とが 一 般 的 に 行 われています ハッシュ 値 から 平 文 文 字 列 を 復 元 することは 一 般 的 には 困 難 ですが 弱 いパスワードの 場 合 は 辞 書 攻 撃 により 元 のパスワードを 復 元 できてしまいますし 複 数 の 同 じハッシュ 値 を 探 すことで 同 一 の 弱 いパスワードをつけているアカウントを 簡 単 に 見 つけることができてしまいます また 辞 書 攻 撃 で 復 元 できないパスワードであっても 十 分 に 長 いパスワードでないと 総 当 り 攻 撃 により 十 分 な 時 間 をかければ 元 のパスワードを 復 元 できてしまう 問 題 があります そして それを 高 速 に 実 現 するレイン ボーテーブルという 技 法 が 開 発 されています これらに 対 し 保 管 するハッシュ 値 を パスワードにソルトと 呼 ばれるユーザ 毎 に 異 なる 文 字 列 をつ けてからハッシュ 値 を 求 めたものとすることにより 見 かけのパスワードを 長 くして レインボーテーブ ル 攻 撃 を 回 避 できますし 前 記 の 同 一 のパスワードの 発 見 も 回 避 できます したがって このようなソ ルト 付 きハッシュ 値 の 形 でパスワードを 保 管 することをお 勧 めします さらに それでもなお 弱 いパスワードや 十 分 に 長 くないパスワードは 十 分 な 時 間 をかければ 復 元 されてしまうので 復 元 にかかる 計 算 時 間 を 長 くするために あえて 計 算 の 遅 いハッシュ 関 数 を 使 う 技 法 があります そのような 遅 いハッシュ 関 数 を 実 現 する 一 つの 方 法 として ハッシュ 値 をさらにハッシュ 関 数 にかける 計 算 を 繰 り 返 し 行 う 方 法 があり この 方 法 はストレッチングと 呼 ばれています ユーザー X パスワード P@ssw0rd ソルト ykqkzc6qsph8 パスワードとソルトを 連 結 した 文 字 列 のハッシュ 値 を 計 算 ソルト 付 きハッシュ 値 f705c11d4865eb4f60f9 ユーザー Y P@ssw0rd qkwhppyjhgwg d22d220492cb09f06fd8 ソルトは 乱 数 等 により 利 用 者 毎 に 異 なる 文 字 列 を 生 成 同 じパスワードの 利 用 者 がいても ハッシュ 値 は 別 の 文 字 列 となる 36 これにより 入 力 した 文 字 の 目 視 確 認 ができなくなるので 長 いパスワードを 入 力 するには 不 便 ですが 最 近 の 一 部 OS では 利 用 者 の 意 思 により 一 時 的 に 入 力 した 文 字 を 画 面 に 表 示 する 機 能 を 持 つものがあります 56

59 2.5 パスワードに 関 する 対 策 参 考 URL IPA: パスワードリスト 攻 撃 による 不 正 ログイン 防 止 に 向 けた 呼 びかけ(サービス 利 用 者 向 けの 解 説 ) PHP.net: パスワードのハッシュ - Manual 57

60 2.6 WAF によるウェブアプリケーションの 保 護 2.6 WAF によるウェブアプリケーションの 保 護 ウェブアプリケーションの 安 全 を 確 保 するには 脆 弱 性 を 作 り 込 まないことや 脆 弱 性 が 発 見 されたら 早 期 に 該 当 箇 所 を 修 正 することが 重 要 です 一 方 そのようなウェブアプリケーションの 実 装 面 での 対 策 とは 別 に ウェブアプリケーションの 脆 弱 性 を 悪 用 した 攻 撃 からウェブアプリケーションを 保 護 する 運 用 面 での 対 策 として WAF(Web Application Firewall)の 使 用 があります WAF は ウェブアプリケーションを 含 むウェブサイトと 利 用 者 の 間 で 交 わされる HTTP(HTTPS 通 信 を 含 む 37 )を 検 査 し 攻 撃 等 の 不 正 な 通 信 を 自 動 的 に 遮 断 するソフトウェア もしくはハードウェアです WAF を 使 用 することで 以 下 の 効 果 を 期 待 できます - 脆 弱 性 を 悪 用 した 攻 撃 からウェブアプリケーションを 防 御 する - 脆 弱 性 を 悪 用 した 攻 撃 を 検 出 する - 複 数 のウェブアプリケーションへの 攻 撃 をまとめて 防 御 する WAFの 動 作 イメージ HTTPリクエスト メッセージ ボディ ヘッダ メッセージ ボディ ヘッダ メッセージ ボディ ヘッダ 利 用 者 ヘッダ メッセージ ボディ HTTPレスポンス ヘッダ メッセージ ボディ ヘッダ メッセージ ボディ 悪 意 あるHTTPリクエスト ヘッダ ヘッダ ウェブアプリケーション 悪 意 のある 人 Web Application Firewall (WAF) ウェブサイト WAF の 動 作 イメージ ウェブアプリケーションの 開 発 状 況 や 運 用 状 況 によっては ウェブアプリケーションの 実 装 面 での 対 策 よりも WAF の 使 用 が 有 効 な 場 合 があります 37 WAF によっては HTTPS 通 信 を 検 査 できないため 注 意 してください 58

61 2.6 WAF によるウェブアプリケーションの 保 護 WAF の 使 用 が 有 効 な 状 況 ~ウェブアプリケーションの 改 修 が 困 難 な 状 況 ~ 開 発 者 は 本 書 1 章 ウェブアプリケーションのセキュリティ 実 装 に 基 づいて 脆 弱 性 を 作 り 込 まない ようにウェブアプリケーションを 実 装 すべきです しかし 開 発 が 完 了 した 後 でウェブアプリケーションに 脆 弱 性 が 発 見 される 場 合 もあります その 場 合 早 期 に 脆 弱 性 を 修 正 すべきですが ウェブアプリケーショ ンの 改 修 が 困 難 な 状 況 が 考 えられます このような 状 況 において WAF は 攻 撃 による 影 響 を 低 減 する 対 策 としてウェブアプリケーションを 保 護 することができます たとえば 下 記 のような 状 況 です 1) 開 発 者 にウェブアプリケーションの 改 修 を 依 頼 できない 状 況 ウェブアプリケーションに 脆 弱 性 が 発 見 された 場 合 開 発 者 に 直 接 脆 弱 性 の 修 正 を 依 頼 できないこ とがあります 企 業 や 組 織 がウェブアプリケーションを 開 発 する 際 他 社 に 開 発 を 依 頼 することがあります 仮 にこ のウェブアプリケーションに 脆 弱 性 が 発 見 された 場 合 に 開 発 企 業 に 脆 弱 性 の 修 正 を 依 頼 できない 事 態 ( 例 : 開 発 事 業 から 撤 退 している)が 生 じ 得 ます 開 発 企 業 にウェブアプリケーションの 改 修 を 依 頼 せずとも 他 の 企 業 に 改 修 を 依 頼 することもできま す しかし 改 修 費 用 が 高 くなり 予 算 内 で 改 修 できない 事 態 に 陥 る 可 能 性 があります 2) 改 修 できないウェブアプリケーションに 脆 弱 性 が 発 見 された 状 況 商 用 製 品 やオープンソースソフトウェアを 使 用 してウェブサイトを 構 築 した 場 合 該 当 ソフトウェアの 改 修 に 直 接 関 与 できず 脆 弱 性 を 修 正 できないことがあります 近 年 ブログや Wiki に 代 表 されるウェブアプリケーションが 商 用 製 品 やオープンソースソフトウェア として 提 供 されています これらのソフトウェアを 利 用 することで ウェブアプリケーションを 独 自 開 発 す ることなく ウェブアプリケーションを 利 用 できます 上 記 のようなソフトウェアに 脆 弱 性 が 発 見 された 場 合 該 当 ソフトウェアの 開 発 元 が 脆 弱 性 を 修 正 し たバージョン または 修 正 パッチを 提 供 しない 限 り 脆 弱 性 を 修 正 できません 該 当 ソフトウェアのサポ ート 期 間 が 終 了 していた 場 合 脆 弱 性 が 修 正 されない 可 能 性 もあります オープンソースソフトウェアの 場 合 利 用 者 自 身 が 脆 弱 性 を 確 認 し 修 正 することもできます ただし 自 組 織 に 脆 弱 性 を 修 正 できる 技 術 者 がいない 場 合 もあるでしょう 59

62 2.6 WAF によるウェブアプリケーションの 保 護 WAF における HTTP 通 信 の 検 査 WAF は WAF を 導 入 したウェブサイト 運 営 者 が 設 定 する 検 出 パターンに 基 づいて ウェブサイトと 利 用 者 の 間 で 交 わされる HTTP 通 信 内 の HTTP リクエスト HTTP レスポンスそれぞれの 中 身 を 機 械 的 に 検 査 します WAF は 検 査 の 結 果 から HTTP 通 信 がウェブサイト 利 用 者 にとって 悪 いもの かどうかを 判 定 します 検 出 パターンには ウェブアプリケーションの 脆 弱 性 を 悪 用 する 攻 撃 に 含 まれる 可 能 性 の 高 い 文 字 列 や ウェブアプリケーション 仕 様 で 定 義 されているパラメータの 型 値 38 といったものを 定 義 し ます WAF が HTTP 通 信 を 正 常 である と 判 定 した 場 合 ( 陰 性 判 定 ) 検 査 した HTTP 通 信 を 利 用 者 または ウェブサイトにそのまま 送 信 します 一 方 WAF が HTTP 通 信 を 悪 質 である と 判 定 した 場 合 ( 陽 性 判 定 ) には WAF は 検 査 した HTTP 通 信 を 送 信 せずに 設 定 された 処 理 ( 管 理 者 への 警 告 該 当 通 信 の 遮 断 等 ) を 実 行 します WAF は HTTP 通 信 を 機 械 的 に 検 査 しているため 人 の 目 で 見 ると 間 違 った 判 断 となる 陰 性 判 定 陽 性 判 定 ( 以 降 判 定 エラー)が 生 じる 場 合 があります 陰 性 判 定 と 陽 性 判 定 陰 性 判 定 HTTPリクエスト メッセージ ボディ ヘッダ メッセージ ボディ ヘッダ メッセージ ボディ ヘッダ 利 用 者 ヘッダ メッセージ ボディ HTTPレスポンス ヘッダ メッセージ ボディ ヘッダ メッセージ ボディ 陽 性 判 定 悪 意 あるHTTPリクエスト ヘッダ ヘッダ ウェブアプリケーション 悪 意 のある 人 Web Application Firewall (WAF) ウェブサイト 陰 性 判 定 と 陽 性 判 定 38 たとえば あるウェブアプリケーションが id というパラメータを 受 け 取 るものとします このウェブアプリケーションが id パラメータの 値 として 数 値 を 期 待 する 場 合 数 値 以 外 の 値 ( 例 : 文 字 列 example )は このウェブアプリケーションにとっ て 正 しい 値 ではありません このウェブアプリケーションを WAF の 防 御 対 象 とする 場 合 id パラメータは 数 値 のみ と いう 検 出 パターンを 定 義 できます 60

63 2.6 WAF によるウェブアプリケーションの 保 護 HTTP 通 信 の 検 査 における 判 定 エラー HTTP 通 信 の 中 身 によっては 判 定 エラーが 生 じる 場 合 があります 判 定 エラーには 偽 陽 性 偽 陰 性 の 2 種 類 があります 偽 陽 性 とは 本 来 正 常 である にもかかわらず 悪 質 である と 判 定 されるエラーです 英 語 では 一 般 的 に false positive と 呼 ばれます 偽 陰 性 とは 本 来 悪 質 である にもかかわらず 正 常 である と 判 定 されるエラーです 英 語 では 一 般 的 に false negative と 呼 ばれます WAF を 使 用 する 場 合 偽 陽 性 (false positive) 偽 陰 性 (false negative)の 判 定 が 生 じる 可 能 性 を 考 慮 する 必 要 があります 偽 陽 性 (false positive)と 偽 陰 性 (false negative) 偽 陽 性 HTTPリクエスト メッセージ ボディ ヘッダ メッセージ ボディ ヘッダ 利 用 者 偽 陰 性 悪 意 あるHTTPリクエスト ヘッダ ヘッダ ヘッダ 悪 意 のある 人 ヘッダ メッセージ ボディ HTTPレスポンス ヘッダ メッセージ ボディ ヘッダ メッセージ ボディ ウェブアプリケーション ウェブサイト Web Application Firewall (WAF) 偽 陽 性 (false postive)と 偽 陰 性 (false negative) 61

64 2.6 WAF によるウェブアプリケーションの 保 護 WAF における 偽 陽 性 と 偽 陰 性 1) 偽 陽 性 (false positive) 原 因 WAF における 偽 陽 性 は 利 用 者 と 保 護 対 象 ウェブアプリケーションの 間 で 交 わされる HTTP 通 信 に あわせた 検 出 パターンを 定 義 していないことから 生 じます 影 響 正 当 な 通 信 が 遮 断 されることで ウェブサイトの 可 用 性 が 損 なわれる 例 安 易 な 検 出 パターンを 定 義 することで 利 用 者 の 正 当 な HTTP 通 信 を WAF で 遮 断 してしまう クロスサイト スクリプティングの 脆 弱 性 を 悪 用 する 攻 撃 からウェブサイト 利 用 者 を 防 御 する 例 を 考 え てみます この 攻 撃 を WAF で 防 御 するため HTML の 特 殊 文 字 < > を 検 出 パターンとして 定 義 し 検 出 した 場 合 は 遮 断 するようにしたと 仮 定 します この 場 合 ウェブサイト 利 用 者 がウェブアプリケーシ ョン 上 で < > を 含 む 数 式 を 入 力 しただけで サイト 利 用 者 の 正 当 な HTTP 通 信 が WAF で 遮 断 され てしまう 可 能 性 があります 一 般 的 な WAF の 検 出 パターンでは この 例 のような 極 端 に 安 易 なものは 含 まれませんが WAF の 原 理 上 偽 陽 性 の 問 題 は 生 じる 可 能 性 が 残 ります 2) 偽 陰 性 (false negative) 原 因 WAF における 偽 陰 性 は 以 下 の 2 つの 要 因 から 生 じます a) 不 正 な HTTP 通 信 を 判 定 する 検 出 パターンを 定 義 できない b) 偽 陽 性 の 生 じる 可 能 性 を 最 小 限 にするため 検 出 パターンを 減 らした 影 響 ウェブアプリケーションの 脆 弱 性 を 悪 用 する 攻 撃 からウェブアプリケーションを 防 御 できない 例 WAF とウェブアプリケーションでの 動 作 の 差 異 により 悪 意 ある HTTP 通 信 を WAF で 検 出 できない HTTP リクエストにおいて クエリストリングとメッセージボディ Cookie に 同 じ 名 前 のパラメータが 複 数 存 在 した 場 合 ウェブアプリケーションの 言 語 とミドルウェア ウェブサーバの 実 装 によって そのパ ラメータの 取 り 扱 いに 差 異 が 生 じます この 差 異 を 悪 用 して 39 同 じ 名 前 のパラメータに 脆 弱 性 を 悪 用 する 攻 撃 の 文 字 列 を 分 割 して HTTP リクエストを 送 信 することで WAF が 脆 弱 性 を 悪 用 する 攻 撃 を 検 出 できない 事 象 が 生 じる 場 合 が 報 告 されています 39 同 じ 名 前 のパラメータが 複 数 存 在 した 場 合 の 動 作 の 差 異 を 悪 用 した 手 法 は HTTP Parameter Pollution (HPP)と 呼 ばれ ています 62

65 2.6 WAF によるウェブアプリケーションの 保 護 資 料 "HTTP Parameter Pollution 40 "は オープンソースソフトウェアの ModSecurity において select 1,2,3 という 検 出 パターンを 定 義 していた 場 合 以 下 の HTTP リクエストが 送 信 されると ModSecurity がこの HTTP リクエストを 攻 撃 として 検 出 できないことを 指 摘 しています 41 index.aspx?page=select 1&page=2,3 from table where id=1 プロトコルの 仕 様 のうち RFC 等 の 文 書 が 明 確 に 定 義 していない 部 分 は 言 語 とミドルウェア ウェ ブサーバの 開 発 者 が 独 自 の 解 釈 に 基 づいて プロトコルを 実 装 します このときの 解 釈 に 違 いにより 各 ソフトウェアにおいて 動 作 の 差 異 が 生 じます この 差 異 は WAF においても 同 様 です この 差 異 を 悪 用 されると 脆 弱 性 を 悪 用 した 攻 撃 を WAF で 検 出 できない 場 合 があります WAF の 導 入 検 討 における 留 意 点 WAF を 導 入 するに 際 して 偽 陽 性 と 偽 陰 性 の 判 定 が 生 じる 可 能 性 を 低 くするためには まず WAF が 検 出 パターンに 合 致 する HTTP 通 信 を 検 出 しても HTTP 通 信 を 遮 断 しないように 設 定 し HTTP 通 信 を 監 視 するだけのテスト 期 間 を 設 けます このテスト 期 間 に WAF の 保 護 対 象 ウェブアプリケーションを 実 際 に 使 用 して 正 当 な HTTP 通 信 が 遮 断 されないか また 保 護 対 象 ウェブアプリケーションにあわせて WAF の 検 出 パターンを 適 切 に 設 定 しているか といった WAF の 動 作 確 認 を 実 施 します この 動 作 確 認 を 実 施 するには 保 護 対 象 ウェブアプリケーションの 理 解 や HTTP 通 信 に 関 連 したプロトコルの 専 門 的 知 識 が 要 求 され かつ 十 分 な 作 業 工 数 が 必 要 です そのため 外 部 の 専 門 家 に WAF の 導 入 を 依 頼 することも 検 討 してください WAF によるウェブアプリケーションの 保 護 について 下 記 の 資 料 も 参 考 にしてください 参 考 URL IPA: Web Application Firewall 読 本 40 Luca Carettoni, Stefano dipaola, "HTTP Parameter Pollution", OWASP AppSec Europe 年 10 月 現 在 の 最 新 バージョン ModSecurity v Core Rule Set v2.0.2 では HPP の 検 出 パターンが 定 義 され ています 63

66 2.7 携 帯 ウェブ 向 けのサイトにおける 注 意 点 2.7 携 帯 ウェブ 向 けのサイトにおける 注 意 点 本 書 で 説 明 している 一 連 の 対 策 は そのウェブサイトが PC 向 けか 携 帯 ウェブ 42 向 けかに 関 わらず 必 要 なものです しかし 携 帯 ウェブ 向 けのサイトを 作 る 際 には 機 能 の 制 限 から PC 向 けとは 違 ったサイ ト 設 計 をする 必 要 が 生 じることがあります 本 節 では そのような 携 帯 ウェブ 向 けのサイトで 起 きやすい 問 題 と 注 意 すべき 点 を 示 します 携 帯 ウェブ 向 けのサイトを 作 る 際 は 本 節 のトピックについても 考 慮 し たうえで 場 合 によってはウェブサイトの 設 計 を 変 更 することも 検 討 してください セッション 管 理 に 関 する 注 意 点 2009 年 5 月 までは 一 部 の 携 帯 電 話 事 業 者 ( 以 下 キャリア とする)のすべての 機 種 において 携 帯 ウェブのブラウザが HTTP の 基 本 的 な 機 能 である Cookie と Referer に 非 対 応 でした そのため や むを 得 ずそれに 合 わせてウェブサイトを 設 計 する 必 要 がありました しかし 2009 年 5 月 以 降 そのキャリアにおいても Cookie と Referer の 機 能 に 対 応 する 機 種 が 混 在 す るようになりました Cookie 機 能 がない 機 種 では セッション 管 理 のためセッション ID を URL に 格 納 せざるを 得 ませんでし た 1.4 節 の 根 本 的 解 決 4-(ii)に 示 したように 一 般 的 には セッション ID を URL パラメータに 格 納 してい ると 利 用 者 のブラウザが Referer 送 信 機 能 によって セッション ID の 含 まれた URL をリンク 先 のサイ トへ 送 信 してしまい セッション ハイジャック 攻 撃 につながる 危 険 があります そのため 携 帯 ウェブ 向 け のサイトでは 外 部 サイトへのリンクを 作 らないようにするか 外 部 サイトへのリンクを 作 る 場 合 であって も URL にセッション ID を 含 まないページを 間 に 挟 むようにする 等 の 対 策 が 取 られているようです しか し その 場 合 でも 利 用 者 が 自 ら URL を 公 開 したこと 等 が 原 因 となって その URL のページが 検 索 エン ジンに 登 録 されることによる 個 人 情 報 漏 洩 事 故 が 発 生 していることから 根 本 的 な 解 決 にはなっていま せん 可 能 な 限 りこのような 実 装 は 避 けるべきであり Cookie 機 能 に 非 対 応 のキャリアにだけ 上 記 の 回 避 策 をとり それ 以 外 のキャリアに 対 しては Cookie 機 能 を 用 いて 通 常 の 一 般 的 な PC 向 けウェブサイトと 同 様 に 実 装 するのが 適 切 でした しかし 2009 年 5 月 以 降 同 じキャリアでも Cookie 機 能 に 非 対 応 の 機 種 と 対 応 する 機 種 が 混 在 するようになったため キャリア 単 位 ではなく 機 種 ごとに 実 装 方 法 を 分 けるべき と 言 えます このような 変 化 の 中 で 古 くから 存 在 する 携 帯 ウェブ 独 自 のノウハウを 適 用 してウェブサイトを 作 ること は ウェブサイトの 安 全 を 損 なう 原 因 になることがあります 古 いノウハウを 見 直 していくことが 必 要 です クロスサイト スクリプティングに 関 する 注 意 点 2009 年 までに 発 売 の 携 帯 電 話 では JavaScript 非 対 応 の 機 種 が 大 半 でしたが 2009 年 以 降 JavaScript をはじめ XMLHttpRequest 機 能 等 にも 対 応 した 機 種 が 発 売 され 始 めており PC に 近 づく 形 で の 高 機 能 化 が 進 んでいます 42 本 節 における 携 帯 ウェブとは 日 本 のキャリアが 提 供 するゲートウェイを 介 したウェブ 接 続 サービス( i モード や EZweb 等 )を 示 します 64

67 2.7 携 帯 ウェブ 向 けのサイトにおける 注 意 点 携 帯 ウェブのブラウザが JavaScript に 対 応 していなかった 時 代 には 携 帯 ウェブ 向 けのサイトにおい てクロスサイト スクリプティング 対 策 が 不 要 と 考 えられることがありました しかし 今 日 では 携 帯 ウェブ のブラウザによる JavaScript 対 応 も 進 みつつあることから PC 向 けウェブサイトと 同 様 に クロスサイト スクリプティング 対 策 が 必 要 です 携 帯 ID の 使 用 に 関 する 注 意 点 携 帯 ID とは 利 用 者 が 携 帯 電 話 でウェブサイトを 閲 覧 する 際 に その 端 末 や 契 約 者 ごとに 割 り 振 られた 携 帯 電 話 の 識 別 子 ( 以 下 携 帯 ID とする)がウェブサイトに 通 知 されることがあります 携 帯 ID の 正 式 名 称 はキ ャリアによって 異 なり 代 表 的 なものに i モード ID EZ 番 号 ユーザ ID FOMA 端 末 製 造 番 号 FOMA カード 製 造 番 号 端 末 シリアル 番 号 などがあります 携 帯 ID には 次 のような 特 徴 がありま す (1) すべてのウェブサイトに 同 じ 携 帯 ID が 通 知 される (2) キャリアの 公 式 サイトでなくとも 通 知 される (3) HTTP リクエストヘッダ(User-Agent ヘッダまたは キャリア 独 自 の 拡 張 ヘッダ)に 格 納 されて ウェ ブサイトに 通 知 される (4) 利 用 者 の 設 定 変 更 により 通 知 を 停 止 することができるが 初 期 設 定 では 通 知 される 65

68 2.7 携 帯 ウェブ 向 けのサイトにおける 注 意 点 携 帯 IDのやりとり この 携 帯 電 話 の 携 帯 ID = ABCD1234 すべてのウェブサイトに 同 じ 携 帯 IDが 通 知 される 携 帯 ID = ABCD1234 ウェブサイトA 利 用 者 携 帯 電 話 サイトA ようこそ さん 新 着 メールあり!! 携 帯 ID = ABCD1234 ウェブサイトB サイトB 占 い - 今 日 の 運 勢 - 携 帯 ID = ABCD1234 ウェブサイトC サイトC 携 帯 ID = ABCD1234 ウェブサイトD 携 帯 ID は 当 初 キャリアによっては いわゆる 公 式 サイトに 対 してのみ 通 知 されるものでした しか し 2008 年 3 月 以 降 すべてのキャリアですべてのウェブサイトに 携 帯 ID が 通 知 されるようになったこと から 利 用 が 急 速 にすすみ 携 帯 ID に 関 する 脆 弱 性 を 抱 えたウェブサイトが 散 見 されるようになりまし た 携 帯 ID による 脆 弱 な 認 証 ウェブサイトによっては 携 帯 ID だけで 利 用 者 を 認 証 する 設 計 のものがあります このような 認 証 方 式 は しばしば かんたんログイン と 呼 ばれます しかし 携 帯 ID は すべてのウェブサイトに 送 信 されるも のですので いわば 公 開 情 報 です このため 携 帯 ID を 照 合 するだけでは 利 用 者 を 認 証 したことには なりません かつて 携 帯 ウェブは 次 の 2 つの 前 提 が 成 り 立 つと 考 えられていたことから 携 帯 ID を 用 い て 利 用 者 の 認 証 が 可 能 と 考 えられていました (a) ウェブサイトへのアクセスは 携 帯 ウェブのブラウザからのみ 行 われる または 携 帯 ウェブのブラ ウザ 以 外 からのアクセスをウェブサイト 側 で 識 別 できる (b) 携 帯 ウェブのブラウザから 利 用 者 による 操 作 で 送 信 する HTTP リクエストのヘッダを 任 意 に 変 更 することができない しかし 近 年 このような 前 提 は 実 際 には 成 り 立 たなくなってきました 66

69 2.7 携 帯 ウェブ 向 けのサイトにおける 注 意 点 (a) の 前 提 を 満 たすために キャリアが 提 供 している IP アドレスリストを 使 用 し アクセス 元 IP アドレス に 基 づく 制 限 をする 方 法 が しばしば 用 いられます しかし このようなリストは キャリアが 正 しさを 保 証 していなかったり 安 全 な 取 得 方 法 が 提 供 されていなかったり 更 新 のタイミングを 適 切 に 追 うことができ ない 等 様 々な 問 題 を 抱 えています その 上 近 年 では 一 部 のキャリアにおいて PC を 用 いてそれらの IP アドレスからのアクセスが 可 能 になっています 携 帯 ID による 利 用 者 認 証 が 安 全 であるためには ウェブアプリケーションに 届 く 携 帯 ID が 偽 装 されな いことが 必 要 ですが 上 記 の 通 り (a) の 前 提 が 崩 れているため あるキャリアでは 端 末 に 割 り 振 られた 携 帯 ID の 偽 装 を 回 避 できないこと また 契 約 者 に 割 り 振 られた 携 帯 ID も 一 部 のキャリアではウェブ アプリケーションの 実 装 によっては 偽 装 されてしまうことが 知 られています 43 また 一 般 にスマートフォン 44 では 簡 単 に 偽 装 されてしまいます このように 携 帯 ID を 用 いて 利 用 者 を 認 証 することは 簡 単 ではありません パスワードや Cookie 等 を 使 用 した PC 向 けサイトと 同 様 の 認 証 方 式 を 採 用 するか キャリアが 提 供 する 安 全 な 認 証 方 式 を 採 用 し てください キャリアによって 認 定 された いわゆる 公 式 サイトでは キャリアから 携 帯 ID の 安 全 な 使 い 方 に 関 する 情 報 の 開 示 を 受 けられることがあります しかしそれ 以 外 のサイトでは その 情 報 を 得 られない ため 安 全 な 使 い 方 を 把 握 できず 結 果 としてウェブサイトの 安 全 性 が 損 なわれる 場 合 があります 認 証 方 式 については 次 項 も 参 照 ください 認 証 情 報 に 関 する 注 意 点 本 項 では 携 帯 ウェブ 向 けのサイトで 発 生 しやすい 認 証 情 報 (ウェブサイトが 利 用 者 を 認 証 するため に 使 用 する 情 報 )に 関 する 問 題 をとりあげます 秘 密 情 報 ではないものを 認 証 情 報 として 使 用 認 証 情 報 は パスワード や 暗 証 番 号 など ウェブサイトと 利 用 者 の 間 だけで 共 有 される 秘 密 情 報 でなくてはなりません ログイン /login メール 生 年 月 日 ログイン たとえば 利 用 者 の 生 年 月 日 など 秘 密 情 報 ではないものに 基 づいて 利 用 者 を 認 証 しようとするウェブ サイトがありますが 生 年 月 日 はその 利 用 者 でない 人 も 知 っている 可 能 性 がある 情 報 ですので これは 認 証 情 報 として 使 用 することのできない 情 報 です このような 情 報 を 利 用 して 利 用 者 を 安 全 に 認 証 できま 43 携 帯 電 話 向 け Web におけるセッション 管 理 の 脆 弱 性 44 本 節 におけるスマートフォンとは 端 末 のブラウザがキャリアのゲートウェイを 介 さずに 直 接 HTTP でウェブサイトに 接 続 するものを 指 します 67

70 2.7 携 帯 ウェブ 向 けのサイトにおける 注 意 点 せん 45 認 証 強 度 が 足 りない 場 合 認 証 情 報 が 第 三 者 による 推 測 や 試 行 によって 破 られることがないよう ウェブサイトは 利 用 者 が 十 分 に 複 雑 な 認 証 情 報 を 使 用 できるようにする 必 要 があります 携 帯 電 話 の 入 力 インターフェースは PC と 異 なる 方 式 で 長 い 文 字 列 の 入 力 には 向 いていません こ のため 携 帯 電 話 向 けウェブサイトにおいては 入 力 する 認 証 情 報 を 数 字 のみにするといった 設 計 がなさ れがちです しかし 数 字 のみによる 認 証 は 簡 単 に 破 られてしまう 場 合 があります ログイン /login メール 暗 証 番 号 2648 ログイン たとえば 利 用 者 の 認 証 に 使 用 する 情 報 として 数 字 4 桁 の 暗 証 番 号 を 用 いる 場 合 暗 証 番 号 の 組 み 合 わせの 総 数 は 10,000 パターンしかありませんから 10,000 パターンの 暗 証 番 号 を 試 された 場 合 には 高 い 確 率 で 認 証 を 破 られてしまいます 4 桁 の 暗 証 番 号 による 認 証 は 銀 行 の ATM や 電 話 越 しでの 本 人 確 認 で 成 立 しているため 一 見 す ると 安 全 そうです しかし そういった 本 人 確 認 が 成 立 する 背 景 には 試 行 回 数 が 制 限 されている 前 提 が あり この 前 提 が 損 なわれると 安 全 な 認 証 ができなくなります ウェブでは 多 くの 場 合 試 行 回 数 を 確 実 に 制 限 することは 困 難 です たとえば 試 行 回 数 を 制 限 する 単 純 な 方 法 として あるユーザ ID に 対 するパスワードの 間 違 いが 一 定 回 数 を 超 えた 場 合 には アカウン トをロックするといった 対 策 が 考 えられますが このような 単 純 な 対 策 では パスワードを 固 定 してユーザ ID を 変 更 する 方 式 の 試 行 (リバースブルートフォース)に 効 果 がありません ウェブにおける 利 用 者 の 認 証 では 認 証 情 報 だけが 頼 りになります 認 証 情 報 を 数 字 だけに 制 限 した りせず 英 数 字 を 織 り 交 ぜた 桁 数 の 多 いパスワードを 使 用 できるようにしてください 利 便 性 との 両 立 パターン 数 の 多 いパスワードは 利 用 者 から 見 れば 入 力 の 手 間 を 要 するものです このためウェブサ イトを 設 計 する 際 利 便 性 を 優 先 してパスワードのパターン 数 を 少 なくする 方 向 性 の 設 計 に 傾 くことがあ るかもしれません しかし 利 用 者 の 安 全 性 も 考 慮 し パターン 数 を 確 保 したまま 入 力 頻 度 を 減 らす 設 計 45 生 年 月 日 や 電 話 番 号 などは 不 正 アクセス 行 為 の 禁 止 等 に 関 する 法 律 第 二 条 で 規 定 される 識 別 符 号 (みだりに 第 三 者 に 知 らせてはならないものとされている 符 号 )に 該 当 しないため それらのみを 認 証 情 報 として 使 用 しているウェブサ イトは アクセス 制 御 機 能 による 保 護 のないサイトとみなされかねない 問 題 もあります 68

71 2.7 携 帯 ウェブ 向 けのサイトにおける 注 意 点 を 検 討 してください ログイン /login ID パスワード ipakun ********** 次 回 から 自 動 的 にログイン ログイン 入 力 頻 度 を 減 らす 方 法 は 幾 つかありますが 代 表 的 なものは Cookie 機 能 を 用 いて 一 定 期 間 有 効 な セッション ID 46 を 発 行 し そのセッション ID が 有 効 な 間 は 認 証 済 みとみなす 手 法 です PC 向 けのウェブ サイトではしばしば 次 回 から 自 動 的 にログイン ログイン 状 態 を 保 持 する 等 の 説 明 の 下 利 用 者 の 選 択 でこの 機 能 を 使 用 できる 仕 組 みが 提 供 されています セッション ID の 有 効 期 間 を 長 くするほど パスワードの 入 力 頻 度 を 抑 えることができます 具 体 的 な 有 効 期 間 はウェブサイトのサービス 内 容 に 応 じて 個 別 に 検 討 してください パスワードに 用 いる 文 字 の 種 類 とパターン 数 の 関 係 PC 向 けのウェブサイトでは 英 数 字 と 記 号 文 字 を 織 り 交 ぜたパスワードを 使 用 するよう しばしば 推 奨 されます このようなパスワードには 高 い 強 度 がありますが 携 帯 電 話 で 入 力 することは 現 実 的 では ない 場 合 があります 携 帯 電 話 においては 数 字 のみをパスワードにすることが 現 実 的 な 方 法 として 考 えられますが その 場 合 は 桁 数 を 多 くして 十 分 なパターン 数 を 確 保 する 必 要 があります 代 表 的 なパス ワード 構 成 方 法 ごとのパターン 数 を 図 にまとめましたので これを 参 考 に 必 要 なパターン 数 を 確 保 してく ださい 例 えば 英 字 ( 大 小 混 在 )+ 数 字 + 記 号 で 構 成 された 8 字 のパスワードと 同 じパターン 数 を 得 るために は 数 字 16 桁 が 必 要 なことがわかります また 数 字 4 桁 のパスワードでは 英 字 ( 大 小 混 在 )+ 数 字 + 46 ここで 使 用 するセッション ID は 第 三 者 に 推 測 されない 必 要 があります 詳 しくは 18 ページの 根 本 的 解 決 4-(i)を 参 照 し てください 69

72 2.7 携 帯 ウェブ 向 けのサイトにおける 注 意 点 記 号 で 構 成 された 2 字 のパスワードと 同 程 度 のパターン 数 しかないことがわかります パターン 数 (10 n ) 字 15 字 14 字 13 字 12 字 11 字 10 字 9 字 8 字 7 字 6 字 5 字 4 字 3 字 数 字 12 字 11 字 10 字 9 字 8 字 7 字 6 字 5 字 4 字 3 字 2 字 英 字 ( 小 文 字 のみ) 10 字 9 字 8 字 7 字 6 字 5 字 4 字 3 字 2 字 英 字 ( 大 小 混 在 ) 文 字 の 種 類 9 字 8 字 7 字 6 字 5 字 4 字 3 字 2 字 英 字 ( 大 小 混 在 ) + 数 字 9 字 8 字 7 字 6 字 5 字 4 字 3 字 2 字 英 字 ( 大 小 混 在 ) + 数 字 + 記 号 70

73 3.1 失 敗 例 (SQL インジェクション) 3. 失 敗 例 前 章 までで ウェブアプリケーションにおける 脆 弱 性 対 策 と ウェブサイトにおける 安 全 性 向 上 のため の 取 り 組 みを 紹 介 してきました 本 章 では ウェブアプリケーションに 脆 弱 性 を 作 りこんでしまった 失 敗 例 および その 修 正 例 を 紹 介 します 3.1 SQL インジェクションの 例 SQL インジェクションの 脆 弱 性 を 考 慮 できていない 例 として ユーザ 認 証 のプログラムを 紹 介 します PHP と PostgreSQL の 組 み 合 わせ 脆 弱 な 実 装 $query = "SELECT * FROM usr WHERE uid = '$uid' AND pass = '$passh'; $result = pg_query($conn, $query); 上 記 はユーザ 認 証 に 関 するソースコードの 一 部 です 1 行 目 右 辺 の $uid は ユーザによって 入 力 されたユーザ ID の 値 です また $passh は ユーザに よって 入 力 されたパスワードをウェブアプリケーション 内 でハッシュ 処 理 した 値 です 1 行 目 の 式 では これらの 変 数 を 用 い 実 行 する SQL 文 を $query に 代 入 しています 2 行 目 右 辺 の pg_query() 47 は PHP に 用 意 されている PostgreSQL 専 用 の 関 数 で 第 2 引 数 に 指 定 された $query を SQL 文 として 実 行 します しかし このプログラム 例 では $uid に 対 するエスケープ 処 理 が 欠 落 しています このため $uid に 悪 意 ある SQL 文 が 形 成 される 値 が 指 定 された 場 合 SQL インジェクション 攻 撃 が 成 功 してしま います 解 説 本 例 のように ウェブアプリケーションに 外 部 から 渡 されるパラメータに 対 してエスケープ 処 理 を 行 っ ていない 場 合 想 定 外 の SQL 文 を 実 行 させられる 原 因 となります たとえば ユーザ ID に taro'-- という 文 字 列 が 与 えられた 場 合 ウェブアプリケーションがデータ ベースに 要 求 する SQL 文 は 下 記 のようになります PHP SELECT * FROM usr WHERE uid = 'taro'--' AND pass ='eefd5bc2...' SQL 上 記 SQL 文 中 のシングルクォート ' は 文 字 列 定 数 を 括 る 引 用 符 の 意 味 を 持 つ 特 別 な 文 字 で す また ハイフンの 繰 り 返 し -- は それ 以 降 の 内 容 をコメントとして 無 視 させる 意 味 をもちます こ のため この 文 字 列 が 与 えられた 場 合 データベースは ' AND pass = eefd5bc2... を 無 視 します この 結 果 データベースで 実 行 される SQL 文 は 下 記 のようになります 47 pg_query: 71

74 3.1 失 敗 例 (SQL インジェクション) SELECT * FROM usr WHERE uid = 'taro'-- SQL これは 仮 に taro というユーザが 存 在 していた 場 合 taro のパスワードを 知 らなくてもログイン が 可 能 であることを 意 味 します 認 証 回 避 だけでなく $uid に 与 える 文 字 列 を 変 えることで 攻 撃 者 は 自 由 にデータベースを 操 作 することができてしまう 場 合 があります SQL 文 を 構 成 する 要 素 に 対 し エ スケープ 処 理 を 施 していないことが 本 問 題 の 原 因 です なお pg_query() 関 数 は 複 数 のクエリ 実 行 が 可 能 な 関 数 です この 箇 所 に SQL インジェクション の 脆 弱 性 がある 場 合 もとのクエリとは 別 に 新 規 のクエリを 挿 入 される 等 攻 撃 による 脅 威 が 高 まりま す 下 記 は 複 数 の SQL 文 の 実 行 例 です // $query に 二 つの SQL 文 を 指 定 $query = "SELECT item FROM shop WHERE id = 1; SELECT item FROM shop WHERE id = 2;" $result = pg_query($conn, $query); PHP 修 正 例 1 プリペアドステートメントを 使 う pg_query() の 代 わりに pg_prepare() 48 および pg_execute() 49 を 利 用 する $result = pg_prepare($conn, "query", 'SELECT * FROM usr WHERE uid= $1 AND pass=$2); $result = pg_execute($conn, "query", array($uid, $passh)); pg_prepare() および pg_execute() は PHP 以 降 に 用 意 されている PostgreSQL 用 の 関 数 です PostgreSQL 7.4 以 降 で 利 用 することができます pg_prepare() は プリペアドステートメント( 準 備 された SQL 文 )を 作 成 する 関 数 です 第 3 引 数 に 実 際 の 値 がまだ 割 り 当 てられていないパラメータ(プレースホルダ)を 含 む SQL 文 の 文 字 列 を 指 定 しま す パラメータは $1 と $2 等 の 形 式 で 参 照 されます pg_execute() は pg_prepare() で 作 成 したプリペアドステートメントを 実 行 する 関 数 です プリペ アドステートメントにプレースホルダが 存 在 する 場 合 pg_execute() は 第 3 引 数 の 要 素 ($uid と $passh)を 自 動 的 に 文 字 列 に 変 換 した 上 でプレースホルダに 割 り 当 て(バインド) 完 成 した SQL 文 を 実 行 します この 処 理 により 利 用 者 は SQL 文 を 構 成 する 要 素 に 別 途 エスケープ 処 理 を 行 う 必 要 がな くなります PHP 48 pg_prepare: 49 pg_execute: 72

75 3.1 失 敗 例 (SQL インジェクション) 修 正 例 2 プレースホルダの 仕 組 みを 持 つ 関 数 を 利 用 pg_query() の 代 わりに pg_query_params() 50 を 利 用 する $result = pg_query_params($conn, 'SELECT * FROM usr WHERE uid = $1 AND pass = $2', array($uid, $passh)); pg_query_params() は PHP 以 降 51 に 用 意 さ れ て い る PostgreSQL 用 の 関 数 で す PostgreSQL 7.4 以 降 で 利 用 することができます pg_query_params() は プリペアドステートメントを 構 成 するものではありませんが プレースホル ダの 仕 組 みを 持 つ 関 数 です 第 2 引 数 に プレースホルダ( $1 や $2 )を 含 む SQL 文 を 指 定 し 第 3 引 数 に 実 際 の 値 を 指 定 します プレースホルダを 利 用 することにより 利 用 者 は SQL 文 の 要 素 に 対 す るエスケープ 処 理 を 別 途 行 う 必 要 がなくなります 修 正 例 3 専 用 のエスケープ 関 数 を 利 用 pg_escape_string() 52 を 利 用 し pg_query() で 実 行 する SQL 文 中 の 全 ての 変 数 要 素 に 対 してエス ケープ 処 理 を 行 う $query = "SELECT * FROM usr WHERE uid = '".pg_escape_string($uid)."' AND pass = '".pg_escape_string($passh)."'"; $result = pg_query($conn, $query); pg_escape_string() は PHP 以 降 に 用 意 さ れ て い る PostgreSQL 用 の 関 数 で す PostgreSQL 7.2 以 降 で 利 用 することができ PostgreSQL において 特 別 な 意 味 を 持 つ 文 字 をエスケー プします エスケープ 処 理 関 数 を 自 作 する 方 法 もありますが PostgreSQL 独 自 の 特 別 な 意 味 を 持 つ 文 字 の 全 て に 対 応 す る こ と は 難 し く 漏 れ が 生 じ る 可 能 性 が あ る た め お 勧 め で き ま せ ん pg_escape_string() を 用 いれば 必 要 なエスケープ 処 理 を 自 動 的 に 行 ってくれます なお 上 記 コーディングでは $passh に 対 してもエスケープ 処 理 を 行 っています $passh は 外 部 か ら 与 えられたパスワードをハッシュ 処 理 した 値 であるため この 要 素 が SQL インジェクション 攻 撃 に 悪 用 される 可 能 性 は 極 めて 低 いと 評 価 できます しかし $passh のように 内 部 処 理 された 要 素 に 対 して も あえてエスケープ 処 理 を 施 すことをお 勧 めします これは エスケープが 必 要 な 要 素 であるかどう かの 検 討 を 都 度 しなくてよいという 利 点 があります 複 雑 なプログラムにおいては それぞれの 要 素 に 対 し エスケープ 処 理 の 要 不 要 判 断 を 行 うことは 容 易 ではなく 漏 れが 生 じる 原 因 となります SQL 文 を 構 成 する 全 ての 変 数 要 素 に 対 し 一 貫 してエスケープ 処 理 を 行 うことをお 勧 めします PHP PHP 50 pg_query_params: 51 PHP5.3 は 2014 年 8 月 14 日 でサポートが 終 了 しています サポート 中 のバージョンの 利 用 を 推 奨 します 52 pg_escape_string: 73

76 3.1 失 敗 例 (SQL インジェクション) PHP と MySQL の 組 み 合 わせ 脆 弱 な 実 装 $query = "SELECT * FROM usr WHERE uid = '$uid' AND pass = '$passh'"; $result = mysql_query($query); 上 記 はユーザ 認 証 に 関 するソースコードの 一 部 です 本 例 も 前 述 の PHP と PostgreSQL の 組 み 合 わせと 同 様 $uid に 対 するエスケープ 処 理 が 欠 落 し ています このため $uid に 悪 意 ある SQL 文 が 形 成 される 値 が 指 定 された 場 合 SQL インジェクショ ン 攻 撃 が 成 功 してしまいます 修 正 例 1 プリペアドステートメントを 使 う mysql_query() の 代 わ り に mysqli(mysql 拡 張 サ ポ ー ト ) 53 の mysqli_prepare() 54 mysqli_stmt_bind_param() 55 mysqli_stmt_execute() 56 関 数 等 を 利 用 する // プリペアドステートメントの 作 成 $stmt = mysqli_prepare($conn, "SELECT * FROM usr WHERE uid=? AND pass =?"); // プレースホルダに $uid, $passh をバインド mysqli_stmt_bind_param($stmt, "ss", $uid, $passh); // SQL 文 の 実 行 mysqli_stmt_execute($stmt); mysqli_prepare() mysqli_stmt_bind_param() mysqli_stmt_execute() は PHP の mysqli モ ジュールに 用 意 されている MySQL 用 の 関 数 です mysqli は MySQL 以 上 の 環 境 で 利 用 すること ができます mysqli_prepare() は プリペアドステートメント( 準 備 された SQL 文 のひな 型 )を 作 成 する 関 数 です 第 2 引 数 の 値 が プリペアドステートメントの 内 容 です この 文 字 列 のうち? は プレースホルダ と 呼 ばれる 実 際 の 値 がまだ 割 り 当 てられていない 要 素 です mysqli_stmt_bind_param() は mysqli_prepare() で 作 成 されたプリペアドステートメントのプレ ースホルダに 対 応 する 値 (バインド 値 )を 割 り 当 てる 関 数 です 第 3 引 数 以 降 の 要 素 ( $uid と $passh )が バインド 値 に 相 当 します 第 2 引 数 の ss は バインド 値 の 型 を 指 定 するものです $uid と $passh はともに 文 字 列 型 であるため string の 頭 文 字 である s を 2 要 素 分 並 べます mysqli_stmt_execute() は 完 成 したプリペアドステートメントを 実 行 する 関 数 です これらの 関 数 を 利 用 することにより 利 用 者 は SQL 文 の 要 素 に 対 するエスケープ 処 理 を 別 途 行 う 必 要 がなくなりま す また mysql 関 数 は PHP5.5.0 にて 非 推 奨 57 となり 将 来 のバージョンで 削 除 される 可 能 性 があるた め 代 替 の 関 数 に 変 更 するべきです PHP PHP 53 MySQL 改 良 版 拡 張 サポート(mysqli) 54 mysqli_prepare: 55 mysqli_stmt_bimd_param: 56 mysqli_stmt_execute: 57 PHP 5.5.x で 推 奨 されなくなる 機 能 : 74

77 3.1 失 敗 例 (SQL インジェクション) 修 正 例 2 エスケープ 関 数 を 利 用 mysql_query() の 代 わ り に mysqli (MySQL 拡 張 サ ポ ー ト ) の mysqli_query() 58 を 利 用 し mysqli_real_escape_string() 59 により mysqli_query() で 実 行 する SQL 文 中 の 全 ての 変 数 要 素 に 対 し エスケープ 処 理 を 行 う $query = "SELECT * FROM usr WHERE uid = '". mysqli_real_escape_string($conn, $uid)."' AND pass = '". mysqli_real_escape_string($conn, $passh)."'"; $result = mysqli_query($conn, $query); PHP mysqli_real_escape_string() は PHP 以 降 に 用 意 されている MySQL 用 の 関 数 です この 関 数 は MySQL において 特 別 な 意 味 を 持 つ 文 字 をエスケープします エスケープ 関 数 を 自 作 することは 漏 れが 生 じる 可 能 性 があるため お 勧 めできません また 対 策 漏 れ 防 止 の 観 点 より $passh のように 内 部 処 理 された 要 素 に 対 しても 一 貫 してエスケープ 処 理 を 施 すことをお 勧 めします Perl (DBI を 利 用 ) 脆 弱 な 実 装 $query = "SELECT * FROM usr WHERE uid = '$uid' AND pass = '$passh'"; $sth =$dbh->prepare($query); $sth->execute(); 上 記 はユーザ 認 証 に 関 するソースコードの 一 部 です 本 例 では Perl において 広 く 利 用 されている DBI 60 と 呼 ばれる データベースへアクセスするためのモジュールを 使 用 しています データベースへのアクセスは DBI モジュールのデータベースハンドルメソッド(prepare() 等 )やステ ートメントハンドルメソッド(execute() 等 )を 使 用 します しかし 本 例 では $uid に 対 するエスケープ 処 理 が 欠 落 しています このため $uid に 悪 意 ある SQL 文 が 形 成 される 値 が 指 定 された 場 合 SQL イ ンジェクション 攻 撃 が 成 功 してしまいます 解 説 この 例 は Perl による 実 装 で DBI を 用 いている 場 合 によく 見 かける 危 険 なコーディング 例 です DBI モジュールの prepare() メソッドは プリペアドステートメントを 作 成 するメソッドで プレースホ ルダを 利 用 することができます また execute() メソッドは prepare() メソッドで 作 成 されたプリペ アドステートメントを 実 行 するメソッドで プリペアドステートメントにプレースホルダが 存 在 する 場 合 そ の 場 所 にバインド 値 を 割 り 当 てます しかし 本 例 では 実 行 する SQL 文 に 変 数 要 素 を 含 むにも 関 わらず プレースホルダを 使 用 してい ません また SQL 文 を 構 成 する 要 素 に 対 してエスケープ 処 理 を 行 っていません このため SQL イン Perl 58 mysqli_query: 59 mysqli_real_escape_string: 60 DBI: 75

78 3.1 失 敗 例 (SQL インジェクション) ジェクション 攻 撃 に 脆 弱 となります 修 正 例 1 プリペアドステートメントでプレースホルダを 使 う $sth =$dbh->prepare("select * FROM usr WHERE uid =? AND pass =?"); $sth->execute($uid, $passh); Perl DBI モジュールの prepare() メソッドに SQL 文 を 指 定 する 際 プレースホルダを 利 用 し 変 数 に 相 当 する 箇 所 を? とします また execute() メソッドには プレースホルダに 割 り 当 てる 値 (バインド 値 ) を 指 定 します 修 正 例 2 エスケープ 関 数 を 利 用 エスケープ 対 象 の 要 素 に 対 し DBI モジュールの quote() メソッドを 使 用 します $sth = $dbh->prepare("select * FROM usr WHERE uid =".$dbh->quote($uid)." AND pass =".$dbh->quote($passh)); $sth->execute(); Perl quote() メソッドは 引 数 に 指 定 された 文 字 列 に 対 して 特 別 な 意 味 を 持 つ 文 字 をエスケープ 処 理 したうえで それ 全 体 をクオートで 囲 んだ 文 字 列 を 返 します SQL 文 においてエスケープ 処 理 を 行 う 場 合 には 通 常 特 別 な 意 味 を 持 つ 文 字 がデータベースエン ジン 毎 に 異 なることに 対 応 しなければなりません DBI には DBD (DataBase Drivers)と 呼 ばれる 各 種 データベースエンジンに 対 応 したドライバが 用 意 されており DBI の quote() メソッドは DBD にそ の 処 理 を 委 譲 しているため データベースエンジンによる 違 いを 意 識 せずに 利 用 することができます 76

79 3.2 失 敗 例 (OS コマンド インジェクション) 3.2 OS コマンド インジェクションの 例 OS コマンド インジェクションの 脆 弱 性 を 考 慮 できていない 例 として メール 送 信 のプログラムを 紹 介 し ます Perl から sendmail コマンドの 呼 び 出 し 脆 弱 な 実 装 これは ウェブのフォームに 入 力 されたメールアドレスを 差 出 人 としてメールを 送 信 するプログラム の 一 部 です $from に 入 力 された 差 出 人 アドレスが 格 納 されています 1 行 目 は シェルのコマンドライン 上 で 特 別 な 意 味 を 持 つ 文 字 である " と ; ' < > を$from から 削 除 しようとしています 2 行 目 は OS の sendmail コマンドを 呼 び 出 して メールを 送 信 する 処 理 を 開 始 し 差 出 人 アドレスとし て$from の 値 をコマンドライン 引 数 に 渡 しています 解 説 $from =~ s/" ; ' < > \ //ig; open(mail, " /usr/sbin/sendmail -t -i -f $from"); この 実 装 は 1 行 目 の 処 置 を 施 してもなお OS コマンド インジェクション 攻 撃 に 対 して 脆 弱 です この 実 装 で $from の 値 が someone@example.jp であるならば 次 のコマンドが 実 行 され これは 正 常 に 処 理 されます Perl /usr/sbin/sendmail -t -i -f someone@example.jp sh しかし 攻 撃 を 意 図 した 入 力 により $from の 値 が `touch[0x09]/tmp/foo` (ここで [0x09] は 水 平 タブを 表 す)となった 場 合 次 のコマンドが 実 行 され OS コマンド インジェクションの 脆 弱 性 を 突 いた 攻 撃 が 成 立 してしまいます /usr/sbin/sendmail -t -i -f `touch[0x09]/tmp/foo` sh バッククォート ` は 囲 まれた 部 分 を 実 行 してその 出 力 をコマンドラインに 反 映 するという UNIX に おけるシェルの 機 能 です 例 題 コードでは ダブルクォートやシングルクォートは 削 除 していましたが バッククォートは 削 除 していませんでした そのため 攻 撃 者 が 指 定 したコマンドの 実 行 を 許 してしまっ ています また 例 題 コードでは 空 白 文 字 を 削 除 していましたから 攻 撃 者 は 任 意 のコマンドを 実 行 すること ができても コマンド 引 数 を 自 由 に 指 定 することはできないと 思 われるところですが 上 記 のように 水 平 タブ [0x09] を 使 うことで 任 意 のコマンド 引 数 を 指 定 することができてしまいます ここで 水 平 タ ブは 空 白 文 字 と 同 様 区 切 り 文 字 として 意 味 を 持 ちます どの 文 字 がシェル 上 で 特 別 な 意 味 を 持 つかはシェルの 種 類 によって 異 なります 思 いつきで 適 当 な 文 字 を 削 除 する 方 法 では 不 完 全 な 対 策 となる 可 能 性 が 高 いので 注 意 が 必 要 です 77

80 3.2 失 敗 例 (OS コマンド インジェクション) 修 正 例 1 ライブラリを 使 用 する 方 法 コマンドの 呼 び 出 しをやめることで OS コマンド インジェクションの 脆 弱 性 に 対 する 根 本 的 解 決 とな ります コマンドの 呼 び 出 しで 実 現 していた 機 能 を 既 存 のライブラリを 用 いて 実 現 できないか 検 討 して ください use Mail::Sendmail; %mail = (From => $from, ); sendmail(%mail); 例 題 コードでは メールを 送 信 することが 目 的 ですから メールを 送 信 するライブラリ Mail::Sendmail を 利 用 すれば 機 能 を 維 持 したまま OS コマンド インジェクションの 脆 弱 性 を 解 消 できます 修 正 例 2 コマンドライン 中 に 値 を 埋 め 込 まない 方 法 ライブラリの 利 用 が 難 しく コマンドを 使 わざるを 得 ない 場 合 でも コマンドの 呼 び 出 し 方 を 変 更 する ことで OS コマンド インジェクションの 脆 弱 性 を 解 消 できる 場 合 があります Perl $from =~ s/\r \n//ig; open(mail, ' /usr/sbin/sendmail -t -i'); print MAIL "From: $from\n"; Perl 例 題 コードの 場 合 メールの 差 出 人 を 指 定 する 部 分 が 問 題 となっていましたが sendmail コマンド では 差 出 人 は 必 ずしも 引 数 で 指 定 する 必 要 はありません 上 記 のようにコマンドの 標 準 入 力 に 与 え るメールデータのヘッダに 差 出 人 を 指 定 することができます この 方 法 ならば コマンドライン 中 に 値 を 埋 め 込 むことを 避 けられますので OS コマンド インジェクションの 脆 弱 性 を 解 消 できます ただし この 修 正 例 のように メールヘッダを 出 力 する 際 には メールヘッダ インジェクションの 脆 弱 性 に 注 意 が 必 要 で 出 力 する $from に 改 行 コードが 含 まれないようにしなければなりません 3.8 の 修 正 例 2 もあわせて 参 照 ください 修 正 例 3 シェルを 経 由 せずにコマンドを 呼 び 出 す 方 法 ライブラリの 利 用 が 難 しく コマンドを 使 わざるを 得 ない 場 合 でも シェルを 経 由 せずにコマンドを 呼 び 出 すことで OS コマンド インジェクションの 脆 弱 性 を 解 消 できる 場 合 があります open(mail, ' -') exec '/usr/sbin/sendmail', '-t', '-i', '-f', '$from'; Perl Perl では 上 記 コードによりシェルを 経 由 せずに 直 接 コマンドを 起 動 します このコードは 例 題 コー ドの 2 行 目 と 同 じ 機 能 を 実 現 します このため $from にシェル 上 で 特 別 な 意 味 を 持 つ 文 字 が 含 まれて いても シェルの 機 能 が 実 行 されないため OS コマンド インジェクションの 脆 弱 性 を 解 消 できます 78

81 3.3 失 敗 例 (パス 名 パラメータの 未 チェック) 3.3 パス 名 パラメータの 未 チェックの 例 パス 名 パラメータに 関 する 脆 弱 性 を 考 慮 できていない 例 として ファイル 内 容 を 画 面 表 示 するプログラ ムを 紹 介 します PHP によるファイル 内 容 の 画 面 表 示 脆 弱 な 実 装 これは 指 定 された 名 前 のファイルの 内 容 を 画 面 に 表 示 するプログラムの 一 部 です 1 行 目 の $file_name には URL 中 の file_name パラメータで 指 定 されたファイル 名 が 代 入 されます そのファ イルが 存 在 する 場 合 5 行 目 の fopen() で 開 き 内 容 を 6 行 目 の fpassthru() で 出 力 します 指 定 されたファイルが 存 在 しない 場 合 nofile.png を 出 力 します ここでは 指 定 されるファイルはサーバ の 公 開 ディレクトリ 上 にあるファイルのみと 想 定 しています この 実 装 は URL 中 で 指 定 されるファイル 名 に 絶 対 パス 名 や../ を 含 むパス 名 が 与 えられる 可 能 性 があることを 考 慮 していないため ディレクトリ トラバーサル 攻 撃 に 対 して 脆 弱 です 解 説 $file_name = $_GET['file_name']; if(!file_exists($file_name)) { $file_name = 'nofile.png'; } $fp = fopen($file_name,'rb'); fpassthru($fp); この 実 装 では URL 中 の file_name パラメータで /etc/passwd を 指 定 された 場 合 /etc/passwd の 内 容 を 画 面 に 表 示 してしまいます また 下 記 のように ディレクトリをプログラム 中 で 指 定 することにより URL で 絶 対 パス 名 を 指 定 さ れることを 防 止 したとしても URL で../../../etc/passwd のように 上 位 ディレクトリを 辿 る 相 対 パ ス 名 を 指 定 されると /etc/passwd の 内 容 を 表 示 してしまいます PHP $file_name = $_GET['file_name']; $dir = '/home/www/image/'; //ディレクトリを 指 定 $file_path = $dir. $file_name; if(!file_exists($file_path)) { $file_path = $dir. 'nofile.png'; } $fp = fopen($file_path,'rb'); fpassthru($fp); PHP 修 正 例 パス 名 からファイル 名 だけを 取 り 出 して 使 用 する OS や 言 語 に 用 意 されている 機 能 を 用 いて パス 名 からファイル 名 部 分 だけを 取 り 出 して 使 うように することで パス 名 パラメータに 関 する 脆 弱 性 に 対 する 根 本 的 解 決 となります 79

82 3.3 失 敗 例 (パス 名 パラメータの 未 チェック) $dir = '/home/www/image/'; $file_name = $_GET['file_name']; if(!file_exists($dir. basename($file_name))) { $file_name = 'nofile.png'; } $fp = fopen($dir. basename($file_name),'rb'); fpassthru($fp); PHP basename() は 引 数 のパス 名 からファイル 名 部 分 (ディレクトリ 部 分 を 含 まない)を 取 り 出 す 関 数 です basename() を 使 用 することで 絶 対 パス 名 や../ を 含 むパス 名 が 指 定 された 場 合 でも ファイル 名 のみを 取 り 出 して 使 用 することができます これにより パス 名 パラメータに 関 する 脆 弱 性 を 解 消 できま す 80

83 3.4 失 敗 例 ( 不 適 切 なセッション 管 理 ) 3.4 不 適 切 なセッション 管 理 の 例 不 適 切 なセッション 管 理 の 実 装 例 として セッション ID を 生 成 するプログラムを 紹 介 します Perl によるセッション ID の 生 成 脆 弱 な 実 装 sub getnewsessionid { my $sessid = getlastsessionid ('/tmp/.sessionid'); $sessid++; updatelastsessionid ('/tmp/.sessionid', $sessid); return $sessid; } Perl これはセッション ID を 発 行 するプログラムの 一 部 です このプログラムでは getnewsessionid 関 数 を 呼 び 出 してセッション ID を 生 成 しています getnewsessionid 関 数 では ファイル /tmp/.sessionid に 保 存 している 数 値 を 1 ずつ 増 やしながらセッション ID を 返 します この 実 装 では セッション ID が 推 測 可 能 となる 脆 弱 性 があります 解 説 この 実 装 では セッション ID を 数 値 で 表 しており 1 から 始 めて と 連 番 で 発 行 しています こ のプログラムでは 最 後 に 発 行 したセッション ID をファイル /tmp/.sessionid で 管 理 しています 攻 撃 者 がこのサイトを 利 用 すると 攻 撃 者 にもセッション ID が 発 行 されます たとえば 攻 撃 者 が 取 得 し たセッション ID が 3022 であったなら そのタイミングで 3021 のセッション ID が 有 効 である 可 能 性 が あります 攻 撃 者 は セッション ID として 3021 を 送 信 してサイトにアクセスすることで セッション ID 3021 が 割 り 当 てられている 他 の 利 用 者 のセッションを 乗 っ 取 ることができてしまいます こうしたセッション ハイジャック 攻 撃 を 防 止 するために セッション ID は 暗 号 論 的 擬 似 乱 数 生 成 器 を 用 いて 生 成 するべきです よくある 失 敗 例 1 第 三 者 が 推 測 可 能 な 値 に 基 づいたセッション ID の 生 成 sub getnewsessionid { my $sessid = time(). '_'. $$;... return $sessid; } Perl 61 このプログラムでは UNIX 時 間 とプロセス ID の 組 み 合 わせをセッション ID としています ここでは アクセスごとに 新 しいプロセスが 生 成 される CGI 実 行 方 式 を 想 定 しています このプログラムでセッション ID を 生 成 する getnewsessionid 関 数 を 呼 び 出 すと UNIX 時 間 (time 関 数 ) アンダースコア _ プロセス ID( 変 数 $$)を 連 結 して その 連 結 した 文 字 列 をセッション ID として 年 1 月 1 日 0 時 0 分 0 秒 からの 経 過 秒 数 を 指 す UNIX 時 刻 やエポック 秒 と 呼 ばれることもある 81

84 3.4 失 敗 例 ( 不 適 切 なセッション 管 理 ) 返 します この 関 数 が 返 すセッション ID は 例 えば _27554 等 です このプログラムは セッション ID の 推 測 によるセッション ハイジャック 攻 撃 に 対 して 脆 弱 です このプログラムで 攻 撃 者 がセッションを 確 立 した 時 刻 から 1 分 後 までに 10 個 の 他 のセッションが 確 立 されたと 仮 定 します 攻 撃 者 は まず 自 分 用 に 発 行 されたセッション ID から 自 分 が 接 続 してい るウェブアプリケーションのセッションのプロセス ID が 分 かります 一 般 的 に 新 規 のプロセスにはプロ セス ID が 連 番 で 割 り 当 てられることが 多 いです 攻 撃 者 のプロセス ID が だった 場 合 他 のセ ッションのプロセス ID は だと 推 測 できます 次 に 攻 撃 者 がセッションを 確 立 した UNIX 時 間 が の 場 合 この UNIX 時 間 以 降 1 分 間 の UNIX 時 間 は から の 範 囲 の 値 となります 推 測 したプロセス ID とこれらの UNIX 時 間 を 組 み 合 わせる と 600 通 りのセッション ID が 得 られます 推 測 したセッション ID 600 通 りを 試 行 することで セッション ハイジャック 攻 撃 が 成 功 する 可 能 性 があります よくある 失 敗 例 2 第 三 者 が 知 り 得 る 値 に 基 づいたセッション ID の 生 成 use Digest::SHA qw(sha256_hex);... sub getnewsessionid { my $sessid = ''; $sessid = $sessid. $ENV{'REMOTE_ADDR'}; $sessid = $sessid. $ENV{'REMOTE_PORT'}; $sessid = $sessid. time(); $sessid = Digest::SHA::sha256_hex($sessid);... return $sessid; } このプログラムでは 利 用 者 の 接 続 元 IP アドレス ポート 番 号 UNIX 時 間 の 組 み 合 わせからハッシ ュ 値 を 算 出 し それをセッション ID としています このプログラムで セッション ID を 生 成 する getnewsessionid 関 数 を 呼 び 出 すと getnewsessionid 関 数 は ま ず 利 用 者 の 接 続 元 IP ア ド レ ス ( $ENV{'REMOTE_ADDR'} ) 接 続 元 ポ ー ト 番 号 ( $ENV{'REMOTE_PORT'} ) UNIX 時 間 (time 関 数 ) を 連 結 し て 文 字 列 を 作 成 し ま す そ し て getnewsessionid 関 数 はこの 文 字 列 の SHA256 ハッシュを 算 出 し そのハッシュ 値 をセッション ID とし て 返 します この 関 数 が 返 すセッション ID は 例 えば 093a2031a79cb4904b1466ee7ad5faaa3afe7b787db66712f407326b213cc2a4 等 です このプログラムではセッション ID にハッシュ 値 を 使 っているため 一 見 安 全 そうに 見 えるかもしれま せん しかし セッション ID の 生 成 方 法 が 第 三 者 に 知 られた 場 合 62 には 第 三 者 がセッション ID を 推 測 できる 余 地 があります 罠 のウェブサイトへの 誘 導 等 によって 攻 撃 者 は 利 用 者 の 接 続 元 IP アドレスを 入 手 できます 63 一 方 ポート 番 号 は 攻 撃 者 が 知 り 得 えない 情 報 です しかし 接 続 元 ポート 番 号 の 範 囲 は 1024 から であり 利 用 者 のネットワーク 環 境 によってはこの 範 囲 が 2 万 通 り 程 度 に 限 定 される 場 合 があり ます Perl 62 このプログラムがオープンソースで 開 発 されている 場 合 またはソースコードが 漏 えいしてしまった 場 合 等 を 想 定 できま す 63 ウェブサイトに 到 達 するまでのネットワーク 経 路 によっては 特 定 の IP アドレスとならない 場 合 があります 82

85 3.4 失 敗 例 ( 不 適 切 なセッション 管 理 ) 接 続 元 ポート 番 号 が 2 万 通 りに 限 定 されるネットワーク 環 境 において このプログラムのウェブアプ リケーションに 利 用 者 が 接 続 してセッションを 確 立 し その 10 秒 前 後 以 内 に 攻 撃 者 が 利 用 者 の 接 続 元 IP アドレスを 知 ったとすると 接 続 元 ポート 番 号 の 取 り 得 る 値 2 万 通 りと UNIX 時 間 の 10 通 りの 組 み 合 わせから 利 用 者 のセッション ID が 取 り 得 る 値 は 20 万 通 りです これらのセッション ID を 試 行 する ことで セッション ハイジャック 攻 撃 が 成 功 する 可 能 性 があります 83

86 3.5 失 敗 例 (クロスサイト スクリプティング) 3.5 クロスサイト スクリプティングの 例 クロスサイト スクリプティングの 脆 弱 性 を 考 慮 できていない 例 として いくつかのプログラムを 紹 介 しま す クロスサイト スクリプティングの 脆 弱 性 は 原 理 上 根 絶 が 困 難 な 脆 弱 性 です しかし そもそも 対 策 を 行 っていない 場 合 や 誤 った 対 策 を 実 施 しているケースも 少 なくありません ここでは 失 敗 例 を3つに 分 けて 紹 介 します 1. 未 対 策 2. 対 策 漏 れ 3. 誤 った 対 策 未 対 策 エスケープ 処 理 の 未 実 施 脆 弱 な 実 装 use CGI qw/:standard/; $keyword = param('keyword');... print... <input name="keyword" type="text" value="$keyword">... $keyword の 検 索 結 果... Perl 上 記 ソースコードは 検 索 結 果 の 表 示 処 理 の 一 部 です 検 索 フォームに 入 力 された 文 字 列 IPA はウェブアプリケーションに 送 信 され $keyword に 格 納 され ます このウェブアプリケーションは 検 索 結 果 をウェブページとして 出 力 する 際 この $keyword を フ ォーム 内 や 見 出 し 等 複 数 の 場 所 に 埋 め 込 んでいます しかし この $keyword に 対 して 出 力 前 にエ スケープ 処 理 を 行 っていません このエスケープ 処 理 の 未 実 施 が スクリプトを 埋 め 込 まれる 原 因 とな ります 解 説 ウェブアプリケーションが 文 字 列 を 出 力 する 際 には それをテキストとして 出 力 するのか HTML タグ 84

87 3.5 失 敗 例 (クロスサイト スクリプティング) として 出 力 するのかによって 行 うべき 処 理 が 異 なります この 例 の 場 合 $keyword は 検 索 キーワード であり テキストとして 出 力 するべき 要 素 です したがって $keyword に 含 まれる & < > " ' 64 等 に 対 して エスケープ 処 理 を 行 う 必 要 があります この 処 理 を 怠 ると $keyword にこれらの 文 字 を 含 む 文 字 列 が 指 定 されることにより 開 発 者 の 意 図 に 反 して 画 面 が 崩 れる 不 具 合 が 生 じます この 不 具 合 を 悪 用 した 攻 撃 手 法 が クロスサイト スクリプ ティング 攻 撃 です 修 正 例 1 エスケープ 用 の 関 数 を 利 用 CGI モジュールの escapehtml() を 利 用 する use CGI qw/:standard/; $keyword = param('keyword');... print "<input... value=\"".escapehtml($keyword)."\"..."; print " ".escapehtml($keyword)." の 検 索 結 果..."; Perl escapehtml() は Perl の 拡 張 モジュール CGI に 用 意 されている 関 数 の 一 つです CGI モジュール は Perl5 に 標 準 で 組 み 込 まれています escapehtml() は 引 数 に 指 定 された 文 字 列 に 含 まれる HTML において 特 別 な 意 味 を 持 つ 文 字 に 対 してエスケープ 処 理 を 行 い その 結 果 を 返 します 下 記 は escapehtml() におけるエスケープ 対 象 文 字 と その 処 理 結 果 です 65 対 象 文 字 処 理 結 果 & & < < > > " " ' &#39; 64 タグ 内 の 引 用 符 は 一 般 に " (ダブルクォート)が 使 用 されますが ' (シングルクォート)を 引 用 符 として 使 用 するケー スも 少 なくないため 併 記 しています 65 CGI モジュールでは 文 字 コードに 応 じて 細 かくエスケープ 対 象 の 文 字 を 決 定 しています たとえば 文 字 コードが ISO や WINDOWS-1252 の 場 合 0x8B(Single Left-Pointing Angle Quotation Mark)や 0x9b(Single Right-Pointing Angle Quotation Mark) 等 もエスケープ 対 象 になります 85

88 3.5 失 敗 例 (クロスサイト スクリプティング) 修 正 例 2 独 自 に 作 成 したエスケープ 処 理 関 数 を 使 用 する print "<input... value=\"".&myescapehtml($keyword)."\"..."; print " ".&myescapehtml($keyword)." の 検 索 結 果...";... # 独 自 に 作 成 したエスケープ 処 理 関 数 myescapehtml sub myescapehtml($){ my $str = $_[0]; $str =~ s/&/&/g; $str =~ s/</</g; $str =~ s/>/>/g; $str =~ s/"/"/g; $str =~ s/'/&#39;/g; } Perl 文 字 コードの 未 指 定 脆 弱 な 実 装 ウェブアプリケーションの 応 答 結 果 HTTP/ OK... Content-Type: text/html 1 HTTP レスポンスヘッダに 文 字 コードの 指 定 がない <HTML> <HEAD> <META http-equiv="content-type" content="text/html"> 2 HTML の META 宣 言 にも 文 字 コードの 指 定 がない HTTP レスポンス 上 記 は あるウェブアプリケーションの 応 答 結 果 の 一 部 です Content-Type フィールドの 値 は 送 信 されるデータの 種 類 (メディアタイプ)をウェブブラウザに 判 定 させるために 利 用 する 情 報 です しかし 上 記 には 文 字 コード(charset)を 判 別 するための 情 報 が 指 定 されていません この 場 合 ウェブブラウザは 独 自 の 実 装 に 基 づく 文 字 コード 判 定 (たとえば 受 信 したデータの 内 容 から 文 字 コードを 推 測 する)を 行 いますが この 挙 動 がクロスサイト スクリプティン グ 攻 撃 に 悪 用 される 場 合 があります 解 説 本 例 は ウェブブラウザにおける 独 自 の 文 字 コード 判 定 機 能 を 悪 用 したクロスサイト スクリプティン グ 攻 撃 の 対 策 が 未 実 施 である 例 です この 解 決 には HTTP レスポンスヘッダの Content-Type フィー ルドに 文 字 コードを 指 定 する 必 要 があります 詳 細 は 全 てのウェブアプリケーションに 共 通 の 対 策 5-(viii)の 内 容 を 参 照 してください 86

89 3.5 失 敗 例 (クロスサイト スクリプティング) 修 正 例 HTTP レスポンスヘッダの Content-Type フィールドに 文 字 コードを 指 定 HTTP/ OK... Content-Type: text/html; charset=utf-8 HTTP レスポンス 対 策 漏 れ テキスト 形 式 で 入 力 される 値 のみに 入 力 段 階 でエスケープ 処 理 脆 弱 な 実 装 本 例 は ウェブブラウザにおける 独 自 の 文 字 コード 判 定 機 能 を 悪 用 したクロスサイト スクリプティン グ 攻 撃 の 対 策 が 未 実 施 である 例 です この 解 決 には HTTP レスポンスヘッダの Content-Type フィー ルドに 文 字 コードを 指 定 する 必 要 があります 投 稿 フォーム <textarea name="comment"... <input name="agree" type="checkbox" value="yes">... <input name="uid" type="hidden" value=" ">... 確 認 画 面 $comment = escapehtml(param('comment')); $agree = param('agree'); $uid = param('uid');... print " 下 記 内 容 で 登 録 します<BR> ".$comment."... print "<input... hidden... =\"".$uid HTML 上 記 は 投 稿 フォームの HTML ソースと そのフォームから 送 信 された 情 報 のいくつかを 確 認 画 面 と して 出 力 するウェブアプリケーションのソースの 一 部 です 投 稿 フォームには 投 稿 者 が 書 き 込 みできるコメント 欄 と チェックボックス 非 表 示 情 報 のユーザ ID が 設 置 されています 投 稿 フォームから 送 信 されたこれら 3 つの 値 は ウェブアプリケーションに 渡 さ れ コメント($comment)とユーザ ID($uid)の 2 つが 確 認 画 面 に 出 力 されています Perl

90 3.5 失 敗 例 (クロスサイト スクリプティング) このうち コメントに 対 しては 入 力 値 を 受 け 取 る 段 階 でエスケープ 処 理 を 行 っていますが ユーザ ID に 対 してはエスケープ 処 理 を 行 っていません これは エスケープ 処 理 の 対 象 を 正 しく 認 識 していな いために 生 じる 対 策 漏 れ の 一 例 です 解 説 エスケープ 処 理 対 象 について ありがちな 誤 った 認 識 として テキストで 入 力 可 能 な 要 素 のみを 対 象 としていることが 挙 げられます 攻 撃 は フォームのコメント 欄 のように 自 由 に 入 力 できる 項 目 のみを 悪 用 するわけではありません テキストで 入 力 可 能 な 要 素 のみに 着 目 すると その 他 の 要 素 を 見 逃 すことになります また 攻 撃 を 入 力 段 階 で 防 御 しようとする 意 識 が 先 行 して 入 力 値 を 受 け 取 った 段 階 でエスケープ 処 理 を 行 うことも 対 策 漏 れにつながります クロスサイト スクリプティングの 脆 弱 性 への 対 策 におけるエスケープ 対 象 は 出 力 要 素 であるのに 入 力 段 階 でエスケープ 処 理 を 行 うと 出 力 前 の 演 算 の 結 果 が HTML タグや スクリプトを 形 成 するケースに 対 応 できませんし 必 要 な 部 分 にエスケープ 処 理 が 施 されているかどう かをソースコードから 確 認 する 作 業 のコストが 増 大 するデメリットも 生 じます 修 正 例 出 力 に 注 目 してエスケープ 処 理 $comment = param('comment'); $agree = param('agree'); 入 力 要 素 には 注 目 しない $uid = param('uid'); 出 力 する 全 要 素 にエスケープ 処 理... print escapehtml($comment);... print "<input... hidden... =\"".escapehtml($uid)."... 入 力 要 素 に 注 目 せず 出 力 要 素 に 注 目 してエスケープ 処 理 を 実 装 してください よくある 失 敗 例 1 リンクの URL を 構 成 する 要 素 へのエスケープ 処 理 漏 れ Perl 上 図 では 次 へ 等 のリンクの URL を 構 成 するパラメータとして cid page pmax ls 等 が 使 用 されています このような タグ 内 に 出 力 する 要 素 についてもエスケープ 処 理 を 行 う 必 要 がありま すが これを 見 落 としてしまう 失 敗 例 が 少 なくありません 88

91 3.5 失 敗 例 (クロスサイト スクリプティング) よくある 失 敗 例 Not Found ページに 表 示 する URL へのエスケープ 処 理 漏 れ 上 図 は HTTP ステータスコード 404 用 のページとして ユーザからリクエストされた URL 情 報 を 出 力 しています 本 来 この URL 情 報 に 対 してもエスケープ 処 理 を 行 う 必 要 がありますが これを 見 落 と してしまうケースが 少 なからずあります たとえば 下 記 のような 罠 のリンクに 誘 導 されることで クロスサイト スクリプティング 攻 撃 が 成 功 し てしまいます URL よくある 失 敗 例 3 アクセスログの 出 力 対 象 へのエスケープ 処 理 漏 れ 本 例 は ウェブサーバのアクセスログを 基 に 統 計 情 報 等 をウェブページに 出 力 するウェブアプリケ ーションです たとえば リクエストしたページや User-Agent Referer 情 報 等 が 出 力 されます このよ うなサーバ 内 のデータを 参 照 して 出 力 する 際 に エスケープ 処 理 を 見 落 としてしまうケースが 少 なから ずあります たとえば 悪 意 のある 人 は User-Agent や Referer 等 の 内 容 にスクリプト 文 字 列 を 含 ませてリクエス トをし アクセスログに 記 録 させます GET /example.html / HTTP/1.1 Host: example.com User-Agent: Mozilla/5.0...<script>... Referer: HTTP リクエスト 89

92 3.5 失 敗 例 (クロスサイト スクリプティング) このため エスケープ 処 理 に 漏 れがある 場 合 アクセスログのページを 閲 覧 する 利 用 者 は 恒 久 的 にスクリプトを 埋 め 込 まれたウェブページを 閲 覧 することになります よくある 失 敗 例 4 ウェブメールの 出 力 対 処 へのエスケープ 処 理 漏 れ 本 例 は メールの 情 報 をウェブページに 出 力 するウェブアプリケーションです たとえば 送 信 元 や 件 名 メールの 内 容 等 が 出 力 されます このような サーバ 内 のデータを 参 照 して 出 力 する 際 に エス ケープ 処 理 を 見 落 としてしまうケースが 少 なからずあります たとえば 悪 意 のある 人 は 下 記 のようなメールを 送 信 します 宛 先 : jiro@example.com From: taro@example.com 件 名 : 改 訂! 安 全 な...<script>... 内 容 : IPA です... <script>... メール このため エスケープ 処 理 に 漏 れがある 場 合 ウェブメールのページを 閲 覧 する 利 用 者 は 恒 久 的 にスクリプトを 埋 め 込 まれたウェブページを 閲 覧 することになります 90

93 3.5 失 敗 例 (クロスサイト スクリプティング) 誤 った 対 策 入 力 フォームに 入 力 制 限 を 実 装 脆 弱 な 実 装 本 例 では 入 力 フォームのウェブページに JavaScript によるチェック 機 構 を 実 装 しています このチ ェック 機 構 を 介 すことにより 確 認 画 面 を 出 力 するウェブアプリケーションには 許 可 された 入 力 値 のみ が 渡 されます このチェック 機 構 により 確 認 画 面 には 不 正 な 文 字 は 出 力 されないと 考 えがちですが このチェック 機 構 は クロスサイト スクリプティングの 脆 弱 性 への 対 策 としては 有 効 に 機 能 しません 解 説 対 策 を 実 施 する 箇 所 が 誤 っています 入 力 側 (クライアント 側 )でのチェック 機 構 は 利 用 者 の 入 力 ミ スを 軽 減 する 目 的 においては 有 効 に 機 能 しますが クロスサイト スクリプティングの 脆 弱 性 への 対 策 としては 有 効 に 機 能 しません クロスサイト スクリプティング 攻 撃 の 多 くは 悪 意 ある 人 が 用 意 した 罠 (メールのリンクや 罠 ページ 等 )から 脆 弱 なウェブアプリケーションに 直 接 リクエストされるため 本 例 のような 入 力 側 のチェック 機 構 を 経 由 することがないためです また クロスサイト スクリプティングの 脆 弱 性 への 対 策 における 入 力 チェック は そもそも 漏 れが 生 じやすく 根 本 的 な 対 策 にはなりません 1 章 5 節 クロスサイト スクリプティング の 根 本 的 対 策 の 内 容 を 参 考 に 対 策 を 検 討 してください ブラックリスト 方 式 による 入 力 チェックのみを 実 装 脆 弱 な 実 装 if ($a =~ /(script expression...)/i){ # 入 力 チェック error_html(); # 危 険 な 値 を 含 む 場 合 はエラー 表 示 exit; } else {... print $a; # 危 険 な 値 を 含 まない 場 合 は 処 理 を 先 に 進 める Perl 91

94 3.5 失 敗 例 (クロスサイト スクリプティング) 本 例 は ブラックリスト 方 式 による 入 力 チェック 機 構 を 実 装 しているウェブアプリケーションです ブラ ックリストには クロスサイト スクリプティング 攻 撃 に 悪 用 される 危 険 な 文 字 列 を 定 義 しています たと えば 入 力 値 $a に script 等 を 含 む 場 合 処 理 を 先 に 進 めず エラー 画 面 を 表 示 します 一 見 入 力 チェック 機 構 が 有 効 に 機 能 し クロスサイト スクリプティング 攻 撃 を 無 効 化 できるように 思 われますが この 実 装 にはチェックを 回 避 され 攻 撃 が 成 功 してしまう 問 題 が 存 在 します 解 説 制 御 文 字 等 を 悪 用 した 入 力 チェックの 回 避 入 力 チェック は クロスサイト スクリプティングの 脆 弱 性 への 根 本 的 な 対 策 にはなりません たと えば $a に 下 記 のような 文 字 列 を 指 定 された 場 合 入 力 チェックによる script のマッチングを 回 避 されます <s%00cript>alert(0)</s%00cript> テキスト 入 力 チェックを 通 過 した $a は %00 がデコードされた Null 文 字 を 含 む 形 でウェブページに 出 力 さ れます ウェブブラウザによってはこの Null 文 字 を 無 視 するため 結 果 として $a の 出 力 内 容 はスクリ プト 文 字 列 として 解 釈 されます このため 単 純 なパターンマッチングでは スクリプトに 悪 用 される 文 字 列 を 完 全 に 抽 出 することはできません Null 文 字 のような チェック 機 構 の 回 避 に 悪 用 可 能 な 文 字 は 他 にも 複 数 存 在 します よくある 失 敗 例 1 連 結 処 理 を 悪 用 した 入 力 チェックの 回 避 本 例 は ブラックリスト 方 式 による 入 力 チェック 機 構 のみを 実 装 しているウェブアプリケーションにお ける 問 題 です 入 力 フォームには 住 所 を 都 道 府 県 や 市 区 町 村 単 位 に 区 切 って 登 録 する 項 目 が 用 意 されています 入 力 チェックには ブラックリストに 従 って script 等 の 文 字 を 含 む 場 合 に 処 理 を 終 了 する 仕 組 みが 設 けられています 入 力 チェックを 通 過 した 住 所 情 報 は 上 図 のように 連 結 して 表 示 さ れます 92