Webアプリケーション内でAjaxを利用すると、その全体的な複雑性は大幅に増大し、サーバ側の各機能が攻撃者にとって新たなターゲットになる。こういった脅威を軽減するための5つの対策を以下に示す。

1. クライアントを信用しない

　クライアントを決して信用してはならないというコーディングの基本原則はAjaxにも当てはまり、セキュリティコントロールはすべてサーバに実装すべきであり、決してユーザーがコントロールできるようにしてはならない。

2. アプリケーションは単純に

　最初はアプリケーションを単純なものにしておく。Ajaxコールを削減し、簡素化すれば、セキュリティテストの際に、Webページまたはアプリケーションによって生成される可能性があるすべてのタイプのリクエストを評価するのが容易になる。

3. アプリケーションの動作を文書化する

　アプリケーションがサーバとどのように通信し、サーバから受け取る応答をどう処理するかに関する説明を文書化する。センシティブな情報用のSLLコネクションなどの問題も含めること。

4. オンライン化前に必ずセキュリティテストを

　アプリケーションをオンラインに移行する前に、セキュリティテストを完了する。テストでは、アクセスコントロールと入力内容の検証にかかわる欠陥のチェックを特に重点を置く。

5. 常に情報収集を

　Web Application Security Projectのサイトにアクセスし、セキュアなAjaxアプリケーションの開発に役立つ情報を得る。

　忘れてはならないのは、XMLHttpRequestのセキュリティモデルは、長期的にはWe b2.0アプリケーションで生き残れないということだ。このため、クロスドメイン問題を解決する可能性がある新たなソリューションの動向を常に注視することが重要である。例えば、JSONRequest（JavaScript Object Notation Request）は、リクエスト時にcookieのやりとりを許可しないのに対し、アドビのFlex ActionScriptでは、どのサイトがスクリプトでクロスドメイン操作を可能にするかをサーバ側でコントロールできるようにしている。

　最後に、アプリケーションのセキュリティ評価を自動化するツールを探しているのであれば、Ajaxを使用するWebアプリケーションをサポートするものを選択すべきだ。こういったツールとしては、センジックのHailstormやSPIダイナミクスのWebInspectなどがある。

本稿筆者のマイケル・コッブ氏は、データセキュリティおよび解析に関するトレーニングやサポートを提供するITコンサルティング会社、コッブウェブアプリケーションズの創業者兼マネージングディレクター。CISSP-ISSAP（公認情報システムセキュリティプロフェッショナル―情報システムセキュリティアーキテクチャプロフェッショナル）の資格を持つ。共著書として「IIS Security」があり、主要なIT出版物に多くの技術記事を寄稿している。