平成２１年度 春季 午後問題Ⅰ 問3

問３　アプリケーション開発時の脆弱性対 策に関する次の基準津を呼んで、設問１、２に答えよ。

C社は、一般消費者向けにファックスや電話による、生活用品の販売を行って いる。従業員50名の会社である。C社の企画開発課は申し込み方法の多様化を 目的として、インターネットで申し込みを受けつた目のXシステム（図１）を 開発してきた。Xシステムでは、Webアプリケーション（以下、Webアプリとい う）のログイン画面で、利用者IDとパスワードによって利用者認証を行う。C 社の開発ポリシには、サービス開始前に第三者によるセキュリティ検査を実施 することが規程されている。そこで、企画開発のF課長は、部下のG君に指示し てWebアプリを対象とした擬似侵入テストと、データベース（以下、DBという ）サーバを対象とした脆弱性診断を、セキュリティ専門会社のD社に依頼した 。

（Webアプリのセキュリティに関する問題点 ）

D社のH氏から擬似侵入テストと脆弱性診 断の毛kkが報告された。次は、擬似侵入テストで見つかった脆弱性に関する会 話の一部である。

H氏　： まず、各ログインセッシ ョンを識別するセッション識別子は、ログイン日と会員番号を組み合わせた文 字列として構成され、図２のようにcookieにセットされますね。このままでは 、悪意をもつ者に他人のセッション識別しを推定され、1.用意になりすま しアクセスができてしまいます。影響と対策については報告書に記述しま したので参照してください。 　 G君　： わかりました。セッショ ン識別子の生成部分を修正します。 　 　 H氏　： 次は、クロスサイトスク リプティング（以下、XSSという）についてです。Webアプリでは、XSSの脆弱 性が多数見つかりました。 　 G君　： XSS対策については、図３ のプログラムのように、利用者からの入力データに 　 H氏　： 入力チェックだけで完全 なXSS対策を行うのは困難です。まずHTML出力の歳に、"<",">",""","'","$"を それぞれ"<",">",""","'","&"に置換することが基本です 。その上で、プログラムがHTMLタグの2.ある特定の属性に値を出力す る場合は、個別の対処が必要です。 　 G君　： （報告書を見ながら）な るほど、そのように対応します。 　 　 H氏　： 次に図３のプログラムはH TTPSでアクセスする画面を出力するものですが、その画面で御社で推奨されて いるブラウザでみたときに、3.HTTPSでの正常なアクセスを意味する鍵マー クが表示されなくなっています。 　 F課長： これは注意が足りません でした。ほかのプログラムも含めて確認し、修正します。 　 　 〔DBセキュリティに関す る問題点〕 　 　脆弱性診断によって、D Bセキュリティに関する問題点も報告された。次は、その問題点に関する会話 である。 　 H氏　： DBサーバには、利用者の 個人情報が平分で格納される仕様になっています。万が一、不正アクセスによ って個人情報画流出した場合に備えて、Webアプリで個人情報を暗号化して格 納することをお勧めします。 　 G君　： 実は、DBMS側で自動ｔ期 に暗号化/復号する透過的データ暗号化昨日（以下、透過的暗号化という）を 利用する予定です。 　 H氏　： 残念ながら4.透過的暗 号化の効果は限定的です。 　 H氏は透過的暗号化につい て説明した。 　 F課長： 防止できる脅威を考える と、Webアプリによる暗号化を採用すべきだな。個人情報の登録と参照をして いる箇所を洗い出して、実装してくれ。 　 G君　： 承知しました、ざっと見 積もって1週間以上は掛かると予想されます。 　 F課長： 仕方ない。よろしく頼む 。 　 H氏　： 今後システム開発をする ときにはもっと早い段階で暗号化について健闘し、実装すべきですね。次に、 Xシステムのログイン認証用パスワード情報はハッシュ値のように見えますが 、どのような方法で算出しているのですか。 　 G君　： パスワードをMD5関数の引 数にして算出しています。 　 H氏　： パスワードだけからハッ シュ値を算出すると、悪意ある第三者にハッシュ値が知られた場合、検索エン ジンや専用ツールを使って、元の値であるパスワードを突き止められてしまう 可能性があります。 　 F課長： パスワードを突き止めら れることで、Xシステムに不正ログインされる可能性がるのは理解できますが 、ほかに何か問題があるのですか。 　 H氏　： 利用者の多くは、ほかの サイトでも同じパスワードを使用しているようです。攻撃者は不正に入手した 利用者ID、パスワードを使ってほかのサイトに不正ログインを試みるでしょう 。したがって、万が一、情報流出した際には、御社に対する非難の声が大きく なりかねませんし、利用者にほかのサイトのパスワードを変更する負担を強い ることになります。そういう最悪の事態にならないようにするためにも、5 .より工夫しｔげパスワードのハッシュ値を算出した方がよいでしょう。< /font> 　 F課長　： なるほど、当社だけの問 題ではないのですね。ハッシュ値の算出方法を変更します。 　 その後、H氏から指摘され た脆弱性に関する対策を完了し、C社は正式にサービスを開始した。