ログイン関連の脆弱性に対処するための5つの方策Webサービスのセキュリティ認証を評価する

筆者がWebセキュリティ評価で遭遇した深刻なWeb認証の脆弱性と、その対処法を紹介する。

2009年07月22日 08時00分 公開
[Kevin Beaver,TechTarget]

 わたしはWebセキュリティを評価するという仕事を通じて、数多くの興味深い問題に遭遇する。その大半は小さなことだが、深刻な問題も少なくない。本稿では、わたしが目にした幾つかの深刻なWeb認証脆弱性(ログイン関連の脆弱性など)を紹介するとともに、開発者や品質担当者、セキュリティ担当者がこれらの問題に対処する方法を示したい。

1. IEのヘルパーオブジェクト

 わたしが遭遇したWebベースの認証に関する脆弱性の中で特に深刻な問題の1つが、重要なバックエンドシステムへのアクセスを可能にするWebブラウザ「Internet Explorer」(以下、IE)のヘルパーオブジェクトに関連したものだ。

 このシステムのログインメカニズムは基本的に、ユーザーのWindowsログインステータスとIDを評価し、ユーザーが有効なアカウントでマシンにログインしていれば、それ以上の認証は行わずにアプリケーションへのアクセスを許可するというものだった。

 しかし驚くことに、Webプロキシを利用すれば、この“認証”プロセスを操作し、バックエンド環境に不正にアクセスできることが分かった。その方法は簡単で、HTTPリクエストを通じて送信されるWindowsユーザーIDフィールドを編集し、既存の有効なユーザーID(例えば「jsmith」)を挿入するだけだ。それ以降はWebプロキシを介在させることなく、ブラウザを閉じるまでシステムに自由にアクセスすることが可能になる。これには参った。

教訓:ユーザーが操作できるこのような認証ロジックは避けるべきだ。また、ユーザーが有効なアカウントを使ってローカルOSにログインしたからといって、彼らがWebアプリケーションにアクセスする権限があると判断してはならない。

会員登録(無料)が必要です

Copyright © ITmedia, Inc. All Rights Reserved.

隴�スー騾ケツ€郢晏ク厥。郢ァ�、郢晏現�ス郢晢スシ郢昜サ」�ス

技術文書・技術解説 アイティメディア広告企画(2025年04-06月クラウドネイティブ特集)

クラウドネイティブインフラ導入戦略ガイド

企業のデジタル化、クラウド化の動きが加速する中で、ネットワークやアジャイルの必要性が改めて関心を集めている。本稿では、クラウドネイティブアプリケーションの採用に当たってIT意思決定者が考慮すべき事項を解説する。

技術文書・技術解説 アイティメディア広告企画(2025年04-06月クラウドネイティブ特集)

クラウドネイティブアーキテクチャ導入戦略ガイド

クラウドネイティブアーキテクチャは、ビジネスにとっての未来と目されている。本稿ではDevOpsとマイクロサービスベース技術の影響、ソフトウェア開発のためのコンテナにおけるセキュリティの重要性、クラウドネイティブアプリケーション開発のためのMicrosoft Azureについて取り上げる。

プレミアムコンテンツ アイティメディア広告企画(2025年04-06月クラウドネイティブ特集)

“危ないコンテナ”の条件は? VMとどう使い分ける? コンテナ丸分かりガイド

アプリケーションを稼働させる手段として普及した「コンテナ」。仮想マシンとは何が違い、どのように使い分ければよいのか。コンテナを安全に運用するために注意すべきこととは。コンテナ活用のヒントを紹介する。

技術文書・技術解説 アイティメディア広告企画(2025年04-06月クラウドネイティブ特集)

「クラウドネイティブ開発」の基本と未来

クラウドネイティブなアプリケーションを構築することで、クラウドサービスのメリットを最大限に生かすことができる。クラウドネイティブ開発の基本と、開発に役立つツールがどのように進化しているのか、説明する。

技術文書・技術解説 アイティメディア広告企画(2025年04-06月クラウドネイティブ特集)

「Kubernetesクラスタ」運用の基礎知識をおさらい ツールのセキュリティ比較も

Kubernetesクラスタ管理の基本原則は何か。クラスタ管理ツール「Rancher」「OpenShift」「Tanzu」が採用しているセキュリティ対策とは。運用管理の基礎知識をおさらいする。

郢晏生ホヲ郢敖€郢晢スシ郢ァ�ウ郢晢スウ郢晢ソスホヲ郢晢ソスPR

From Informa TechTarget

いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは

いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ(仮想PC画面)は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。

繧「繧ッ繧サ繧ケ繝ゥ繝ウ繧ュ繝ウ繧ー

2025/05/28 UPDATE

ログイン関連の脆弱性に対処するための5つの方策:Webサービスのセキュリティ認証を評価する - TechTargetジャパン システム開発 隴�スー騾ケツ€髫ェ蛟�スコ�ス

TechTarget郢ァ�ク郢晢ス」郢昜サ」ホヲ 隴�スー騾ケツ€髫ェ蛟�スコ�ス

ITmedia マーケティング新着記事

news017.png

「サイト内検索」&「ライブチャット」売れ筋TOP5(2025年5月)
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。

news027.png

「ECプラットフォーム」売れ筋TOP10(2025年5月)
今週は、ECプラットフォーム製品(ECサイト構築ツール)の国内売れ筋TOP10を紹介します。

news023.png

「パーソナライゼーション」&「A/Bテスト」ツール売れ筋TOP5(2025年5月)
今週は、パーソナライゼーション製品と「A/Bテスト」ツールの国内売れ筋各TOP5を紹介し...