多要素認証が効かない「Pass-the-cookie攻撃」の緩和策：Pass-the-cookie攻撃の脅威【後編】

Pass-the-cookie攻撃を完全に防ぐ方法はないが、緩和することはできる。組織やユーザーを守るために何ができるのか。

[Alex Scroxton，Computer Weekly]

　前編（多要素認証が効かない「Pass-the-cookie攻撃」の仕組み）では、Pass-the-cookie攻撃の概要と仕組み、リスクを解説した。後編ではPass-the-cookie攻撃を緩和する方法を紹介する。

　MFAを無効にする攻撃が内包する「広範囲に広がる」という性質により、ユーザーのリスクは大きくなる。Bitdefenderのアーセン氏は次のように話す。「Cookieとセッションのハイジャックは、特にSSO（シングルサインオン）を導入している企業にとっては非常に懸念される。サイバー犯罪者は盗み出したCookieやセッションを使ってそのIDが関連付けられた複数のWebアプリケーションにアクセスする可能性がある」

　OneSpanのフレデリック・メネス氏（製品セキュリティ部門ディレクター）もこのリスクが注目に値することに同意し、次のように話す。「Pass-the-cookie攻撃の実行に成功すると、その影響は大きい。サイバー犯罪者はCookieが有効である限り企業のリソースにアクセスできる。通常なら、Cookieの有効期間は数分間から数時間程度だ。ただ、この攻撃は比較的少ない可能性もある。この攻撃はユーザー端末のCookieにアクセスする必要があるが、他にもっと簡単な攻撃があるからだ」

Pass-the-cookie攻撃を緩和する方法

　幸い、Pass-the-cookie攻撃のリスクを軽減する方法、もしくはその影響に対処する方法はそれほど難しいものではない。

　「アプリケーションとITアーキテクチャは多くの変動要素で構成されている。アプリケーションとITアーキテクチャベースのセキュリティレビューやアセスメントの一環としてこの種のシナリオの定期テストを行い、現時点でも将来にわたってもこの種のシナリオが実行されないようにすることが重要だ」とF-Secureのバン・デ・ウィール氏は話す。

　Cerberus Sentinelのエスピノサ氏は次のように話す。「Pass-the-cookieの脆弱性を軽減する方法は、Cookieの有効期間を短くして1つのセッション専用にすることだ。そうすれば、ブラウザを閉じるとCookieが無効になる。Webアプリケーションを使い終えたらWebアプリケーションからログオフしてブラウザを閉じるよう、ユーザーをトレーニングする必要がある。ログオフせず、ブラウザも閉じないユーザーは多い。その結果リスクが高まる」

　「Webアプリケーションの機能ごとに頻繁に再認証を求めない限り、1つの手段でPass-the-cookie攻撃を防ぐ方法はない。だが、そうすればユーザーエクスペリエンスが低下する」と同氏は話す。

　Tessianのルーカー氏も次のように補足する。「利用可能な緩和策はたくさんあり、この種の攻撃は数年前ほどは成功していない」

　「このような緩和策には、クラウドインフラへのアクセスを既知のIPアドレス、理想的には強力なMFAを別途適用した企業VPNに限定する方法などがある。セッションCookieの多くは時間制限を設けることができる。これを短時間にするのが効果的であることを覚えておくことが重要だ」

関連記事

• 2FAバイパスツールがもたらした二要素認証安全神話の終焉
• もはや安全ではない二要素認証（2FA）と生体認証
• 生体認証の本質的な欠点と解決策
• いまさら聞けない「cookieによるトラッキング」の基礎　なぜ制限されるのか？
• SNSユーザーにはびこる悪意ある「ブラウザ拡張機能」に注意

重要なのは文化

　他の多くのセキュリティリスクと同様、適切な社内セキュリティ文化を築けるかどうかによるところが大きいと指摘するのは、OneLoginのニアム・マルドゥーン氏（グローバルデータ保護部門の責任者）だ。

　「セキュリティ文化の確保は脅威を特定して対応するのに重要なだけでなく、セキュリティのプロセスに従う場合でも重要になる」と同氏は話す。

　「その優れた例がプロビジョニングとプロビジョニング解除のアクセス管理プロセスだ。このプロセスでは、ビジネス要件を持つものだけにアクセスを許可し、認証、承認、保証の管理の原則に従ってそのアクセスを確実に承認、レビュー、監視する意識的な集中と注意が必要になる」

　ワクスマン氏は次のように補足する。「こうした攻撃を防ぐには、フィッシングへのセキュリティ意識を高める必要がある。使い終えたクラウドサービスからログアウトし、非アクティブなセッションはたとえ短時間であっても自動的に強制終了するようサービスを設定する必要がある。見つかった弱点を検出して解決するには、セキュリティへの姿勢を自覚することが重要だ」