2009年07月22日 08時00分 公開
特集/連載

ログイン関連の脆弱性に対処するための5つの方策Webサービスのセキュリティ認証を評価する

筆者がWebセキュリティ評価で遭遇した深刻なWeb認証の脆弱性と、その対処法を紹介する。

[Kevin Beaver,TechTarget]

 わたしはWebセキュリティを評価するという仕事を通じて、数多くの興味深い問題に遭遇する。その大半は小さなことだが、深刻な問題も少なくない。本稿では、わたしが目にした幾つかの深刻なWeb認証脆弱性(ログイン関連の脆弱性など)を紹介するとともに、開発者や品質担当者、セキュリティ担当者がこれらの問題に対処する方法を示したい。

1. IEのヘルパーオブジェクト

 わたしが遭遇したWebベースの認証に関する脆弱性の中で特に深刻な問題の1つが、重要なバックエンドシステムへのアクセスを可能にするWebブラウザ「Internet Explorer」(以下、IE)のヘルパーオブジェクトに関連したものだ。

 このシステムのログインメカニズムは基本的に、ユーザーのWindowsログインステータスとIDを評価し、ユーザーが有効なアカウントでマシンにログインしていれば、それ以上の認証は行わずにアプリケーションへのアクセスを許可するというものだった。

 しかし驚くことに、Webプロキシを利用すれば、この“認証”プロセスを操作し、バックエンド環境に不正にアクセスできることが分かった。その方法は簡単で、HTTPリクエストを通じて送信されるWindowsユーザーIDフィールドを編集し、既存の有効なユーザーID(例えば「jsmith」)を挿入するだけだ。それ以降はWebプロキシを介在させることなく、ブラウザを閉じるまでシステムに自由にアクセスすることが可能になる。これには参った。

教訓:ユーザーが操作できるこのような認証ロジックは避けるべきだ。また、ユーザーが有効なアカウントを使ってローカルOSにログインしたからといって、彼らがWebアプリケーションにアクセスする権限があると判断してはならない。

ITmedia マーケティング新着記事

news161.jpg

コロナ禍で縮小したマーケティング施策 1位は「オフラインのセミナー/展示会」――ベーシック調査
B2Bマーケターを対象にした調査で8割以上が「コロナ禍で実施/検討しているマーケティン...

news110.jpg

メルカリ調査 フリマアプリで売れる価格は新品の購買意思決定にどれほど影響する?
フリマプリ出品経験者は、フリマアプリでの再販価格が10%上昇すると、新品に支払える上...

news024.jpg

Google検索における2020年上半期の動向 新型コロナの影響でSEOはどう変わる?
新型コロナウイルスの影響が大きかった2020年の上半期ですが、Google検索の動向において...