Column

Ajaxのセキュリティ――悪用防止の5つの対策

Webアプリケーション内でAjaxを利用すると、その全体的な複雑性は大幅に増大し、サーバ側の各機能が攻撃者にとって新たなターゲットになる。こういった脅威を軽減するための5つの対策を示す。

公開 2007年04月03日 05時00分

更新 2012年09月04日 19時48分

著者

Michael Cobb

[TechTarget]

印刷する

　グーグルのGmailは最近、Ajax（Asynchronous JavaScript and XML）の可能性をめぐってWeb開発者コミュニティーの間で関心を集めた。Ajaxは、ブラウザの機能を拡張するために組み合わせて用いられる技術セットであり、ユーザーとアプリケーションがコンテンツにアクセスし、それを共有、編集することを可能にする。このWeb開発手法は特に新しいものではないが、Web 2.0（次世代のWebサービス）の一部と見なされている。Ajaxはすべてのインターネットベースのサービスと同様、独自のセキュリティ問題を抱えている。Ajaxの仕組み、それを悪用する手口、そして攻撃を防ぐための対策をみることにしよう。

Ajaxの仕組み

　Ajaxアプリケーションは基本的に、ユーザーのマシン上で実行される。これらのアプリケーションは、Webページ全体をリロードしなくても済むように、ユーザーに意識されることなくサーバと少量のデータをやりとりする。これにより、Webページに機能が付加され、応答性が高くなったように感じられる（その例としては、Gmailのリアルタイムスペルチェック機能などがある）。Ajaxは、CSS（Cascading Style Sheet）、DOM（Document Object Model）、DHTML（Dynamic HTML）などの技術を使用するが、その主要な原動力となっているのはJavaScriptのXMLHttpRequestオブジェクトである。XMLHttpRequestは陰で非同期に動作し、ユーザーのキー入力やタイマーなどのイベントによって起動するように設定することが可能だ。これはつまり、Webページ上のJavaScriptコードがユーザーから独立してWebサーバに接続し、クロスドメインコンテンツを取り込めることを意味する。

ハッカーがAjaxを悪用する方法

　Webアプリケーションは一般に、同じオリジン（配信元）ポリシーを使用するため、ベースページを配信したサーバだけに接続するように制限されている。しかしこれはAjaxスクリプトには当てはまらないので、悪質なスクリプトや改ざんされたスクリプトは、cookieに保存されたデータを盗み出したり、配信元サーバに直接アクセスしたりすることができるのだ。例えば、攻撃者はクロスサイトスクリプティングの脆弱性をひそかに悪用する可能性がある。Ajaxを利用したアプリケーションは、複数のリクエストをバックグラウンドで実行でき、しかもユーザーには普通の機能のように見えるからだ。

Ajaxの悪用を防ぐには

　Webアプリケーション内でAjaxを利用すると、その全体的な複雑性は大幅に増大し、サーバ側の各機能が攻撃者にとって新たなターゲットになる。こういった脅威を軽減するための5つの対策を以下に示す。

1. クライアントを信用しない

　クライアントを決して信用してはならないというコーディングの基本原則はAjaxにも当てはまり、セキュリティコントロールはすべてサーバに実装すべきであり、決してユーザーがコントロールできるようにしてはならない。

2. アプリケーションは単純に

　最初はアプリケーションを単純なものにしておく。Ajaxコールを削減し、簡素化すれば、セキュリティテストの際に、Webページまたはアプリケーションによって生成される可能性があるすべてのタイプのリクエストを評価するのが容易になる。

3. アプリケーションの動作を文書化する

　アプリケーションがサーバとどのように通信し、サーバから受け取る応答をどう処理するかに関する説明を文書化する。センシティブな情報用のSLLコネクションなどの問題も含めること。

4. オンライン化前に必ずセキュリティテストを

　アプリケーションをオンラインに移行する前に、セキュリティテストを完了する。テストでは、アクセスコントロールと入力内容の検証にかかわる欠陥のチェックを特に重点を置く。

5. 常に情報収集を

　Web Application Security Projectのサイトにアクセスし、セキュアなAjaxアプリケーションの開発に役立つ情報を得る。

　忘れてはならないのは、XMLHttpRequestのセキュリティモデルは、長期的にはWe b2.0アプリケーションで生き残れないということだ。このため、クロスドメイン問題を解決する可能性がある新たなソリューションの動向を常に注視することが重要である。例えば、JSONRequest（JavaScript Object Notation Request）は、リクエスト時にcookieのやりとりを許可しないのに対し、アドビのFlex ActionScriptでは、どのサイトがスクリプトでクロスドメイン操作を可能にするかをサーバ側でコントロールできるようにしている。

　最後に、アプリケーションのセキュリティ評価を自動化するツールを探しているのであれば、Ajaxを使用するWebアプリケーションをサポートするものを選択すべきだ。こういったツールとしては、センジックのHailstormやSPIダイナミクスのWebInspectなどがある。

本稿筆者のマイケル・コッブ氏は、データセキュリティおよび解析に関するトレーニングやサポートを提供するITコンサルティング会社、コッブウェブアプリケーションズの創業者兼マネージングディレクター。CISSP-ISSAP（公認情報システムセキュリティプロフェッショナル―情報システムセキュリティアーキテクチャプロフェッショナル）の資格を持つ。共著書として「IIS Security」があり、主要なIT出版物に多くの技術記事を寄稿している。