企業はJavaScriptを完全に無効にすべきか否か
IE、Firefox、Chrome開発者を悩ませるJavaScript、ユーザー企業への影響は？
高品質なWebページを実現できる一方でハッカーに悪用されるケースの多いJavaScript。企業はその存在を完全に無効にすべきかどうか、必要なセキュリティ対策も踏まえて検討する。
JavaScriptは、最も利用されているWebサイトスクリプト言語だ。Webブラウザ上で動作し、HTMLのみの場合に比べてはるかに動的なページを実現できる。一方でハッカーにとっては、ブラウザを乗っ取り、不正な操作を実行できる存在でもある。
JavaScriptが攻撃に悪用されるケースが多いためクロスサイトスクリプティング（XSS）をはじめ、さまざまなインジェクション攻撃に利用されている、ブラウザベンダーは一層のセキュリティ対策が求められている。本稿では、JavaScriptのセキュリティ対策を幾つか紹介する。また、企業はJavaScriptを完全に無効にすべきかどうかについても検討する。
JavaScriptのセキュリティ対策の1つは、不正コードが埋め込まれている既知のサイトへのユーザーアクセスを防ぎ、コードが実行される機会そのものを絶つことだ。MicrosoftのInternet Explorer（IE） 8とIE 9はURLをフィルタリングするSmartScreen機能を利用し、Firefox、Safari、ChromeはGoogleのSafeBrowsingを採用して、同様の処理を行っている。仕組みは、まず上記のようなレピュテーションベースのシステムがインターネット上の不正なWebサイトを検索し、検索結果に従ってサイトのコンテンツにフラグを付ける。次にユーザーがリクエストしたURLのレピュテーション情報をブラウザが要求し、危険を示すフラグがコンテンツに付けられている場合は、ユーザーに警告を表示する。
IE 9にはXSSフィルタ機能も実装されている。この機能は、Webサイトからの他のWebサイトに対する動作を分析し、疑わしいスクリプトコードが別のサイトに混入することを防ぐ。Chromeにも同様の機能がある。Firefoxの場合はNoScriptプラグインをユーザーがインストールする必要がある。ただし、いずれのコントロールでも、ブラウザがサーバの意図とは違う形でコンテンツを解釈する可能性があるため、信用できないコンテンツを適切に除外することは難しい。実際、Samyワームはこの矛盾を突き、（MySpaceサイトで入力検証時にブロックされる）単語「JavaScript」を「Java」と「Script」の2つに分けることで、CSSタグ内にコードを混入させた。
また最近では、不正コードをカモフラージュするために、複雑で検出しにくい複合型の攻撃が使用され始めている。例えば、Adobe Flashに組み込むAdobe ActionScriptコードとWebページに組み込むJavaScriptコンポーネントに悪意のあるコードを分割して、多くの予防型セキュリティの検査をすりぬけるという手法が取られている。
Firefoxは、バージョン4からコンテンツセキュリティポリシー（CSP）をサポートした。CSPを利用すると、サイトは特殊なヘッダを送信することで、.js形式の実行可能スクリプトの正規の発行元と見なされるべきドメインを指定できる。CSP対応Webブラウザは、このような承認済みのドメインから読み込まれたスクリプトのみを実行する。Twitterは最近、モバイルサイトにCSPを実装したが、これは簡単な作業ではなかった。埋め込まれたJavaScriptコードを別のファイルに移動し、スクリプトタグを使って再読み込みする必要があるからだ。
また、CSPはonClickなど、JavaScriptによって制御されるさまざまなHTMLイベントを無効にするため、JavaScriptの悪用は阻止できても、ユーザー用の送信ボタンなど、Weサイトの正規のonClick機能が図らずも使用できなくなる可能性がある。WordPress、Drupal、Djangoの各WebフレームワークへのCSPへの実装が進められているが、特に、持続型XSSに対しては限られた保護しか得られず、クロスサイトリクエストフォージェリ（CSRF）攻撃には歯が立たないため、大半のWebサイトでCSPが使用されるようになるまでには、時間がかかるだろう。
JavaScriptのリスクを考慮し、企業ではJavaScriptの実行を全面的に無効にする場合がある。この設定は、全てのブラウザに用意されている。ただしこの場合、ナビゲーションメニューにはJavaScriptがある程度使用されていることが多いため、かなりのWebサイトを利用できなくなる。セキュリティが最優先課題の場合は、スクリプトを無効にし、ホワイトリストを作ってブラウザでJavaScriptの実行を許可するサイトと禁止するサイトを制御することもできる。
この処理も全てのブラウザでサポートされているが、ホワイトリストのメンテナンスには時間がかかるのが難点だ。また、Adobe ReaderでもJavaScriptを無効にすることをお勧めする。Symantecによると、2010年に発生したWebベース攻撃の半数近くが、不正なPDFファイルに関係しているという。ほとんどのPDFは表示や操作にJavaScriptを必要としないため、Adobe ReaderでJavaScriptを無効にしても、さほど不便は感じないだろう。
上記のいずれの方法もスマートではないが、現時点では、100％安全でありながらJavaScriptも使用できるという実用的な代替策はない。ブラウザベンダーはブラウザのセキュリティを強化する必要に迫られているが、JavaScriptベースの攻撃に強いサイトの構築をWeb開発者に求める必要もある。
例えば、ユーザー入力をWebページに追加したりデータベースに格納する前に厳格なチェックを実行することで、持続型（ストアド）XSS攻撃からWebサイトユーザーを保護する（.NET開発者の場合は、Microsoft Anti-Cross Site Scripting Libraryをフル活用して、格納対象のデータから不正データを除去する）。また、開発者はクライアントサイドスクリプトがcookieにアクセスできないように、HttpOnlyフラグを常に使用する習慣を付け、IE 8で導入されたtoStaticHTMLなどのメソッドを利用することを覚える。toStaticHTMLは、HTMLで表示する前にユーザー入力からイベントの属性とスクリプトを削除することで、DOMベースのXSS攻撃からページを保護するメソッドだ。JavaScriptベースの攻撃の被害を受け得るWebページを排除することで、ユーザーの保護を格段に強化できる。
ブラウザやサイトでどれほどセキュリティ対策を講じても、ユーザーやサイトが、ユーザーの信頼というブラウザセキュリティの最大の弱みにつけ込んだソーシャルエンジニアリング攻撃の餌食になる可能性は消せない。ソーシャルエンジニアリング攻撃では、ユーザーがJavaScriptコードをブラウザのアドレスバーにコピーするように仕向け、現在読み込まれているページのコンテンツが実行されるようにする。IE 9では、このようなユーザー自身の操作が引き金になる攻撃を防ぐため、アドレスバーにコピーされた文字列から「JavaScript」というプレフィックスを削除している。しかし、最高の対抗手段は、根気よくユーザーの啓蒙を続け、セキュリティポリシーに従わない場合のリスクを理解してもらうことだ。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
市場調査・トレンド
[コパード株式会社] 約9割が負担を実感 Salesforceのテスト業務に関する実態調査で見えた課題とは -
市場調査・トレンド
[コパード株式会社] 「Salesforce」開発・運用におけるAI活用実態調査レポート -
事例
[テクバン株式会社] 1画面でITサービスデスク業務が完結 太陽ホールディングスに学ぶデバイス管理 -
製品資料
[デジタルサーカス株式会社] ライセンス無料 Drupalベースの「多言語ECサイト開発用パッケージ」の実力は？ -
製品資料
[デジタルサーカス株式会社] 日本発グローバル企業用Drupal「Risley（リズリー）」の実力とは？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
2
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
3
パッチなしで「今すぐサーバを落とせ」 Kiteworks異例警告の波紋
-
4
LINEヤフーはなぜ「社内の管理者」すら信用しないインフラを作ったのか
-
5
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
-
6
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
7
情シス管理職は何を「やらない」のか ラクス情シス課長が語る"仕事を任せる判断軸"
-
8
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
9
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
10
「サイバー犯罪株式会社」に潜入 現地調査で判明した“犯罪者求人”の実態
ホワイトペーパーランキング PR
-
1
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
2
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
3
システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
-
4
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
5
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
6
プログラミング不要で誰でも実現できる、ネットワーク運用管理の自動化とは
-
7
Linux初心者でも知らないとまずい「RHEL」「SLES」の違いとは？
-
8
東大教授と考える、AI時代の「データ主権」「信頼性」「ガバナンス」の在り方
-
9
「IT史に名を残すシステム障害」8選
-
10
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー