2017年05月24日 12時00分 UPDATE
特集/連載

大事なのは「多くの技術者をその気にさせる」こと「Slack」がセキュリティホールをわずか5時間で修正、その秘策とは?

ユーザーの認証トークンを危険にさらし、ハッカーに個人データへのアクセスを許すセキュリティホールが「Slack」で見つかった。この問題点と攻撃の手法について説明する。

[Matthew Pascucci,TechTarget]
Slackが実施しているバグ報奨金プログラムが認証トークン漏えいからユーザーを救った

 クラウドベースのコラボレーションアプリケーションとしてユーザーを増やしている「Slack」にセキュリティホールが見つかった。攻撃者が悪用すれば、ユーザーの認証トークンを盗み出して再利用し、ユーザーのプライベートチャンネルやデータにアクセスできてしまう。このセキュリティホールは何が問題なのか。そして認証トークンはなぜ危険にさらされたのだろうか。

 Webセキュリティを手掛けるDetectifyのセキュリティ研究者であるフランス・ローゼン氏が発見したSlackのセキュリティホールは、攻撃者に他のSlackユーザーのチャットやメッセージ、ファイルコンテンツなどの情報へのアクセスを許してしまう。

 この脆弱(ぜいじゃく)性を悪用すれば、攻撃者は悪意あるページを介して、Slackユーザーのアカウントにフルアクセスできたという。双方向通信プロトコル「WebSocket」を悪意あるサイトにリダイレクトし、その過程でユーザーのセッショントークンを盗み出す方法だ。

ITmedia マーケティング新着記事

news126.jpg

SMSでもワンツーワン配信、ユミルリンクが「Cuenote SMS」に機能追加
SMS配信サービス「Cuenote SMS(キューノート SMS)」にURLクリックカウント、差し込み配...

news066.jpg

継続・解約の理由は? 電通ダイレクトマーケティングが健康食品とスキンケア化粧品の定期購入者の実態を調査
年間購入金額は「1万円〜2万円未満」が2割ほどで最も多く、高年齢ほど年間購入金額が大き...

news042.jpg

Tableauが考えるデータドリブン経営におけるコミュニティーの役割
データ活用を組織全体にスケールさせる上で欠かせないこととは何か。