だが、クリップボードの情報がコンピュータから盗まれてしまったら？　好むと好まざるとにかかわらず、Ajaxが使われる環境では、クリップボードの情報は非常に盗まれやすくなる。Ajaxが登場する前は、第三者がJavaScriptを使ってユーザーのクリップボードの情報を見ることは可能だったが、その情報を怪しまれずにサーバに送信することはできなかった。Internet Explorerでは、クリップボードの内容をブラウザ内からコピーできる機能が提供されている。このため、第三者がシンプルなJavaScriptを使ってその内容を取得し、Ajaxを使って、バックグラウンドで誰にも気付かれずにサーバに送信することができる。

　この通信方法が使えるからといって、Ajax自体が危険なわけではない。問題は、Ajaxが、サーバとのシームレスなバックグラウンド通信を実現することから、ほかの方法では盗みにくい情報を盗むために悪用できることにある。Ajaxを使うことで容易になる攻撃手法の1つにリアルタイムキーロギングがある。キーロギングは、ユーザーがどんなブラウザを使っていても行われる可能性があるが、クリップボードデータを盗むのに悪用される恐れがあるブラウザは、Internet Explorerに限られる。クリップボードオブジェクトを操作するJavaScript機能がIEでしか提供されていないからだ。

　JavaScriptのwindow.clipboardData.getData("Text")メソッドを使うと、クリップボード上の現在の値が取得できる。さらに、oncopy、oncut、onbeforepasteなどのイベントを併用すれば、クリップボードデータをさまざまに操作するカスタム機能を開発できる。

　クリップボードデータを取り込んだり、盗み出すのはいたって簡単だ。マイクロソフトは現在、ユーザーが構造化データをWebサイト間で、あるいはWebサイトからPCアプリケーションにコピーできる「Live Clipboard」の開発を進めている。オンラインバンキングサイトからアマゾンのショッピングカートに、クレジットカード情報をコピー＆ペーストできたらどうだろう？　われわれにとって、そしてハッカーにとっても実に便利だ。Live Clipboardが有望なのは確かだが、マイクロソフトはこのアプリケーションの設計では、セキュリティの問題も考慮する必要がある。

本稿筆者のアヌラグ・アガーワル氏はCISSP（公認情報システムセキュリティプロフェッショナル）の資格を持ち、大手ソフトウェアソリューションプロバイダーでアプリケーションセキュリティのさまざまな面に取り組んでいる。