企業はJavaScriptを完全に無効にすべきか否か
IE、Firefox、Chrome開発者を悩ませるJavaScript、ユーザー企業への影響は？
高品質なWebページを実現できる一方でハッカーに悪用されるケースの多いJavaScript。企業はその存在を完全に無効にすべきかどうか、必要なセキュリティ対策も踏まえて検討する。
JavaScriptは、最も利用されているWebサイトスクリプト言語だ。Webブラウザ上で動作し、HTMLのみの場合に比べてはるかに動的なページを実現できる。一方でハッカーにとっては、ブラウザを乗っ取り、不正な操作を実行できる存在でもある。
JavaScriptが攻撃に悪用されるケースが多いためクロスサイトスクリプティング（XSS）をはじめ、さまざまなインジェクション攻撃に利用されている、ブラウザベンダーは一層のセキュリティ対策が求められている。本稿では、JavaScriptのセキュリティ対策を幾つか紹介する。また、企業はJavaScriptを完全に無効にすべきかどうかについても検討する。
JavaScriptのセキュリティ対策の1つは、不正コードが埋め込まれている既知のサイトへのユーザーアクセスを防ぎ、コードが実行される機会そのものを絶つことだ。MicrosoftのInternet Explorer（IE） 8とIE 9はURLをフィルタリングするSmartScreen機能を利用し、Firefox、Safari、ChromeはGoogleのSafeBrowsingを採用して、同様の処理を行っている。仕組みは、まず上記のようなレピュテーションベースのシステムがインターネット上の不正なWebサイトを検索し、検索結果に従ってサイトのコンテンツにフラグを付ける。次にユーザーがリクエストしたURLのレピュテーション情報をブラウザが要求し、危険を示すフラグがコンテンツに付けられている場合は、ユーザーに警告を表示する。
IE 9にはXSSフィルタ機能も実装されている。この機能は、Webサイトからの他のWebサイトに対する動作を分析し、疑わしいスクリプトコードが別のサイトに混入することを防ぐ。Chromeにも同様の機能がある。Firefoxの場合はNoScriptプラグインをユーザーがインストールする必要がある。ただし、いずれのコントロールでも、ブラウザがサーバの意図とは違う形でコンテンツを解釈する可能性があるため、信用できないコンテンツを適切に除外することは難しい。実際、Samyワームはこの矛盾を突き、（MySpaceサイトで入力検証時にブロックされる）単語「JavaScript」を「Java」と「Script」の2つに分けることで、CSSタグ内にコードを混入させた。
また最近では、不正コードをカモフラージュするために、複雑で検出しにくい複合型の攻撃が使用され始めている。例えば、Adobe Flashに組み込むAdobe ActionScriptコードとWebページに組み込むJavaScriptコンポーネントに悪意のあるコードを分割して、多くの予防型セキュリティの検査をすりぬけるという手法が取られている。
Firefoxは、バージョン4からコンテンツセキュリティポリシー（CSP）をサポートした。CSPを利用すると、サイトは特殊なヘッダを送信することで、.js形式の実行可能スクリプトの正規の発行元と見なされるべきドメインを指定できる。CSP対応Webブラウザは、このような承認済みのドメインから読み込まれたスクリプトのみを実行する。Twitterは最近、モバイルサイトにCSPを実装したが、これは簡単な作業ではなかった。埋め込まれたJavaScriptコードを別のファイルに移動し、スクリプトタグを使って再読み込みする必要があるからだ。
また、CSPはonClickなど、JavaScriptによって制御されるさまざまなHTMLイベントを無効にするため、JavaScriptの悪用は阻止できても、ユーザー用の送信ボタンなど、Weサイトの正規のonClick機能が図らずも使用できなくなる可能性がある。WordPress、Drupal、Djangoの各WebフレームワークへのCSPへの実装が進められているが、特に、持続型XSSに対しては限られた保護しか得られず、クロスサイトリクエストフォージェリ（CSRF）攻撃には歯が立たないため、大半のWebサイトでCSPが使用されるようになるまでには、時間がかかるだろう。
JavaScriptのリスクを考慮し、企業ではJavaScriptの実行を全面的に無効にする場合がある。この設定は、全てのブラウザに用意されている。ただしこの場合、ナビゲーションメニューにはJavaScriptがある程度使用されていることが多いため、かなりのWebサイトを利用できなくなる。セキュリティが最優先課題の場合は、スクリプトを無効にし、ホワイトリストを作ってブラウザでJavaScriptの実行を許可するサイトと禁止するサイトを制御することもできる。
この処理も全てのブラウザでサポートされているが、ホワイトリストのメンテナンスには時間がかかるのが難点だ。また、Adobe ReaderでもJavaScriptを無効にすることをお勧めする。Symantecによると、2010年に発生したWebベース攻撃の半数近くが、不正なPDFファイルに関係しているという。ほとんどのPDFは表示や操作にJavaScriptを必要としないため、Adobe ReaderでJavaScriptを無効にしても、さほど不便は感じないだろう。
上記のいずれの方法もスマートではないが、現時点では、100％安全でありながらJavaScriptも使用できるという実用的な代替策はない。ブラウザベンダーはブラウザのセキュリティを強化する必要に迫られているが、JavaScriptベースの攻撃に強いサイトの構築をWeb開発者に求める必要もある。
例えば、ユーザー入力をWebページに追加したりデータベースに格納する前に厳格なチェックを実行することで、持続型（ストアド）XSS攻撃からWebサイトユーザーを保護する（.NET開発者の場合は、Microsoft Anti-Cross Site Scripting Libraryをフル活用して、格納対象のデータから不正データを除去する）。また、開発者はクライアントサイドスクリプトがcookieにアクセスできないように、HttpOnlyフラグを常に使用する習慣を付け、IE 8で導入されたtoStaticHTMLなどのメソッドを利用することを覚える。toStaticHTMLは、HTMLで表示する前にユーザー入力からイベントの属性とスクリプトを削除することで、DOMベースのXSS攻撃からページを保護するメソッドだ。JavaScriptベースの攻撃の被害を受け得るWebページを排除することで、ユーザーの保護を格段に強化できる。
ブラウザやサイトでどれほどセキュリティ対策を講じても、ユーザーやサイトが、ユーザーの信頼というブラウザセキュリティの最大の弱みにつけ込んだソーシャルエンジニアリング攻撃の餌食になる可能性は消せない。ソーシャルエンジニアリング攻撃では、ユーザーがJavaScriptコードをブラウザのアドレスバーにコピーするように仕向け、現在読み込まれているページのコンテンツが実行されるようにする。IE 9では、このようなユーザー自身の操作が引き金になる攻撃を防ぐため、アドレスバーにコピーされた文字列から「JavaScript」というプレフィックスを削除している。しかし、最高の対抗手段は、根気よくユーザーの啓蒙を続け、セキュリティポリシーに従わない場合のリスクを理解してもらうことだ。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
事例
なぜワンキャリアは障害復旧を3時間から1時間以内に短縮できたのか -
製品資料
自社のDevSecOpsはどこまで進んでいる？ 進捗を測る指針“成熟度モデル”とは -
製品資料
実際に悪用される脆弱性は4％前後 優先的に対処すべき脆弱性を把握するには？ -
事例
三菱ケミカルが脆弱性への迅速な対応フローを実現した方法とは？ -
技術文書・技術解説
MDMだけでは防げない？ Appleデバイスに潜む5つのセキュリティギャップ
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
IT人材の42％が転職予備軍 辞めさせない組織の4つの共通
-
2
「業務改善とツール活用」に関するアンケート
-
3
「HDD終了」は本当か 巨大クラウド2社が下した大容量フラッシュへの決断
-
4
契約作成からKYCまでAIが完結 独金融大手が3000人を削減してまで狙う破壊的効率化
-
5
LLMの「過学習」、正しく説明している文章はどれ？
-
6
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
7
AI投資が無駄に終わる 「データセンター人材の枯渇」が招く最悪のシナリオ
-
8
【漫画付き】"RAG導入失敗3例"と処方箋 「入れても使われない」を終わらせる
-
9
GitHub Copilotを使いこなす第一歩 初めてのプロンプト6つのコツ
-
10
ただで使い「12時間以内の復旧」を迫る 無償OSSを商用扱いする日本企業の末路
ホワイトペーパーランキング PR
-
1
属人化や仕様バグはなぜ起きる？ AI時代に必須のドキュメント文化の作り方
-
2
「NAS」「SAN」「DAS」は何が違う？ いまさら聞けないストレージの基礎
-
3
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
4
財務を戦略的組織へ進化させるAI活用術、4つの主要な障壁と解消方法
-
5
中小企業必見、Microsoft 365でゼロトラストセキュリティを実現する方法
-
6
セキュリティソフトをすり抜ける標的型攻撃メール、不審メールの見破り方とは？
-
7
“あのファイル転送”で暗躍するノーウェアランサム
-
8
5分で分かる「AI駆動開発エージェント」 要件定義から設計・実装・テストまで
-
9
動画で知るランサムウェア被害企業のリアル、会計データが無事だった理由とは
-
10
マンガで解説：「ゼロトラスト」「SASE」の必要性とメリット
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー