APIの取り扱いミスが引き起こす問題【後編】
OAuthによる「SNSアカウントでログイン」実装を危険にしないための注意点
ソーシャルメディアのアカウントを使ったログイン機能は、正しく実装しなければユーザーのデータ流出を招きかねない。宿泊施設予約サイト「Booking.com」で見つかった脆弱性を例に、その危険性と対策を解説する。
「OAuth」（Open Authorization）は、ソーシャルメディアのアカウントを介してWebサイトにログインする際の、アクセス権限を認可するプロトコルとして利用が広がっている。
こうした普及はさまざまなWebサイトに利便性をもたらす一方で、広範に影響を与え得る脆弱（ぜいじゃく）性の温床にもなりかねない。例えば宿泊施設予約サイトBooking.comのOAuth実装には、重大な脆弱性が存在していた。発見したのは、API（アプリケーションプログラミングインタフェース）セキュリティベンダーSalt Securityの研究部門であるSalt Labsだ。
危ない実装とAPIが及ぼす影響
併せて読みたいお薦め記事
連載：APIの取り扱いミスが引き起こす問題
危険なAPI
Salt Labsの調査員は、Booking.comの脆弱性に関する技術的な詳細情報とその悪用方法を公開している。その悪用方法は、3つのセキュリティギャップ（システムの脆弱性や実装上の不備、人為的ミスなどのセキュリティ問題の総称）を連携させてアカウント奪取を達成するものだ。以下にSalt Labsの解説を引用する。
ここで取り上げたのは、3つの小さなセキュリティギャップを組み合わせた攻撃手法です。1つ目のセキュリティギャップは、連携先を指定する「redirect_uri」という変数に対して、攻撃者が任意のアドレスを指定できるというものです。この解説では、この1つ目のセキュリティギャップに焦点を当てています。
Facebookをはじめ外部サービスとのアカウント連携を実装する場合、連携先のアドレスをハードコーディング（ソースコード内に直接記述）することが重要です。例えば「Facebook」アカウントと連携させる場合は、redirect_uriの値をハードコーディングしておく必要があります。
Salt Securityが2022年8月に公開した調査レポート「State of API Security Q3 2022」は、同社の顧客企業350社以上に対する聞き取り調査の結果をまとめたものだ。それによると2021年7月から2022年7月にかけて、同社の顧客が受け取ったAPI呼び出しの総件数は168％増加した。そのうちAPI攻撃の件数も、117％増加した。
この増加傾向の中、API関連のインシデントが目立っている。一例が2022年9月に発覚した、オーストラリアの通信会社Singtel Optus（以下、Optus）に対する攻撃だ。このインシデントで攻撃者は、インターネットに公開された脆弱なAPIを攻撃することで、以下を実行した。
- 1100万人以上の顧客情報の窃盗
- 氏名
- 住所
- 生年月日
- 電話番号
- メールアドレス
- 運転免許証番号
- パスポート番号
- 身代金の要求
Optusのインシデントは極めて広範に影響を及ぼした。そのためオーストラリア政府は、通信セキュリティに関する規則の改正を計画している。
Computer Weekly発 世界に学ぶIT導入・活用術
米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
Computer Weekly発 世界に学ぶIT導入・活用術
この記事の著者
関連記事
新着ホワイトペーパー PR
-
市場調査・トレンド
[セコムトラストシステムズ株式会社] EDR導入を成功に導くロードマップ：選定／稟議／運用のつまずきを防ぐコツ -
製品資料
[ペンタセキュリティ株式会社] PCI DSS v4.0.1対応の負担を軽減 審査工数とコストを削減する実践的アプローチ -
製品資料
[ペンタセキュリティ株式会社] いま「次世代WAF」が必要とされる理由 -
市場調査・トレンド
[ServiceNow Japan合同会社] 通信事業を次の段階へ引き上げるには？ 主要33社の調査に見る成長戦略の勘所 -
製品資料
[ServiceNow Japan合同会社] 運用のサイロ化で連携が進まない、サービスプロバイダーの成長をどう実現する？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
2
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
3
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
4
IBM iのブラックボックス化を打破 資産継承と進化を実現する「IBM Bob」の実力
-
5
「何から始めればいい？」 情報漏えい対策で悲鳴を上げる中小企業のリアル
-
6
「業務改善とツール活用」に関するアンケート
-
7
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
-
8
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
9
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
10
年収700万超エンジニアに共通するスキルと「もっと勉強すべきだった分野」
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
プログラミング不要で誰でも実現できる、ネットワーク運用管理の自動化とは
-
4
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
5
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
6
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
7
ランサムウェア攻撃“究極の対策”はこれだ
-
8
サイバー脅威「トップ50」完全解説ガイド、新たな攻撃手法に対抗するには
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
生成AIの活用を阻む「5つの壁」とは？ AIネイティブ組織へ変革を遂げる方法
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー