ホワイトハットハッカーを有効活用
失効したユーザーでもログイン可能、Slackも影響を受けたSAMLの脆弱性とは？
失効したログイン認証情報を使用してシステムの利用許可権限が与えられてしまうSAMLに関する重大な脆弱（ぜいじゃく）性の問題がSlackにおいて発見された。「Confused Deputy」と名付けられた問題の解決方法とは？
情報を共有し、素早い解決を目指す。
Slackの利用中にConfused Deputyと呼ばれる問題を発生させる、SAMLの重大な脆弱（ぜいじゃく）性をセキュリティ研究者が発見した。
Confused Deputyとは直訳すると「混乱した使節、代理人」となる。これは、実際の法執行機関の担当者が混乱していることではなく、アプリケーションがあるソフトウェアなどを実行する許可（権限）を得ている場合に、全く別のソフトウェアなどでも許可が取れてしまう事象を指す。
Confused Deputyは、シングルサインオンやID連携で利用される言語「Security Assertion Markup Language（SAML）」にも適用されるため、権限の悪用が可能になってしまう。
Adobe Systemsのセキュリティ研究者兼上級ソフトウェアエンジニアのアントニオ・サンソ氏が、SAMLを使用してWebサイトを検索しているときにConfused Deputy問題を発見した。Slackにログインを試みたとき、失効したはずのSAMLアサーション（表明）を使ってSlackにアクセスする権限が依然として与えられており、ログインに成功した。
SAML脆弱性が引き起こす脅威
この問題に関してサンソ氏はさらに調査を進め、失効したSAMLアサーションだけでなく、そもそもSlack向けに意図されたものでないSAMLアサーションでもログインに成功したとも締めくくっている。彼は、古い失効しているGitHubのアサーションを使用し、その古いアサーションのユーザー名でSlackに直接認証を試したところ、このアサーションはSlack用のアサーションでないにもかかわらず、アプリケーションの認証が完了した。
サンソ氏は自身のブログに、「もっと具体的に言うと、私は自分のアーカイブの片隅に残していた古い失効したGitHubアサーションを使用した。ちなみにこのアサーションは私のものではない（ユーザー名が“asanso”ではない）、他の人が作成したGitHubアサーションであったが、これをSlackに提示した。そうすると、Slackは問題なしとこれを受け取り、私はSlack向けに意図されたわけではない、古い失効したアサーションのユーザー名を使用してSlackチャンネルにログインできてしまった」
SAML認証に関しては、ユーザーやID管理プロバイダー、サービス管理プロバイダーなどが関係するが、AudienceRestriction要素というものも存在する。この要素は、基本的には、アサーションの対象として意図されたサービス管理プロバイダー側またはサービス管理プロバイダー側の顧客を識別する。しかし、このSAMLを使って不正アクセス（疑似的な攻撃）をしてみると、サンソ氏は適切な認証プロセスに従わなくてもアカウントにアクセスできた。
ホワイトハットハッカーによるセキュリティの向上
サンソ氏はSlack社に同社のHackerOne bug bounty submission（バグ発見報奨金プログラム）を通してこの件について通知し、Slack社側からこのSAMLの脆弱性を修正、修復する作業を完了したという返信をすぐに受け取った。彼は、Slack社に同社のシステムのバグを発見し知らせたことで同社から3000ドルの報奨金を与えられた。
Slack社をはじめとする企業は、このSAMLのConfused Deputyの脆弱性と類似のバグから防御するに当たってホワイトハットハッカーコミュニティーに頼っている。ホワイトハットハッカーとはセキュリティに関する欠陥を調べたり、悪意を持ったハッカーやクラッカーによる不正侵入を監視したりする、いわゆる「善のハッカー」のことである。
ただ、セキュリティの脆弱性管理プログラムが十分に実施されていても、問題は常に発生するため注意が必要だ。
サンソ氏のような熟練者ではなくともセキュリティ強化は可能だ。具体的にはホワイトハットハッカーコミュニティーのような情報セキュリティコミュニティーに問題を投稿、拡大することでアプリケーションの欠陥を探させることができる。アプリケーションのテストに別観点を追加するなどしてさらに厚みを持たせると、Confused Deputyなどの脆弱性を発見、修正しやすくなる。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
“攻撃者優位”なサイバーセキュリティ、全ての「穴」をふさぐ方法とは？ -
製品資料
実際に悪用される脆弱性は4％前後 優先的に対処すべき脆弱性を把握するには？ -
製品資料
HubSpotの機能を拡張する法人データ活用法 -
製品資料
面倒で非生産的な「名寄せ」作業 高精度＆高効率に実施するには？ -
製品資料
名刺管理には「その先」がある 成果のでない営業活動から脱却する秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
ISMSの“コンサル丸投げ”が招く数千万円の無駄 NTTドコモビジネスの脱出劇
-
2
「VMware離れ」は本当か 3000社がVCF 9にかじを切った現実的な理由
-
3
「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口
-
4
なぜ人はいるのにDXが進まない？ ライオンも直面した“老害”レガシーシステム
-
5
Netflixのバックエンドは「ほぼJava」 3000超のアプリを支える開発基盤の裏側
-
6
レガシーコードを捨てJavaで勘定系を再定義 ソニー銀行、フルクラウド化の全容
-
7
「0.3秒のスピード顔認証」の入退室管理が社員に好評 事例に学ぶオフィス改革
-
8
マンガで解説：KSK2稼働で何が変わる？ 税務調査の高度化に備えるデータ管理
-
9
脱VMwareに待った？ AI基盤を掲げるBroadcomの思惑と情シスが直面する新コスト
-
10
221人調査で分かった「情シス最大のストレス」は？
ホワイトペーパーランキング PR
-
1
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
2
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
-
3
財務・会計はAI活用でどう変わる？ 調査で見えた変革の道筋
-
4
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
「結局、一部の人しか使わない」 AI活用が業務に定着しない根本的な理由
-
7
コスト分析で見る「デバイス復旧」の代償 損失額から導きだされた投資戦略とは
-
8
Macの安全神話は崩壊？ 最新の脅威動向から見えた攻撃のトレンドと有効な対策
-
9
ゼロトラストにおける「IDaaSの課題」と補完すべき重要機能とは？
-
10
「NAS」「SAN」「DAS」は何が違う？ いまさら聞けないストレージの基礎
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー