ここが危ない!Web2.0のセキュリティ

第9回 ブログのセキュリティ

この記事を読むのに必要な時間:およそ 2 分

サブドメイン使用の場合

認証Cookieをサブドメイン宛に発行していれば,スクリプトを悪用して認証Cookieを盗まれることはなくなります。そのためスクリプトを許可することもできます。ただし,コメント欄は不特定多数の人が書き込める上に,文字装飾や凝ったデザインをする必要性も小さいため,HTMLタグを禁止にしてしまってよいでしょう。

しかし,認証Cookieが盗まれないからといってスクリプトを許可してよいかということについては十分に検討する必要がありますので,以下で考えていきます。

スクリプトの脅威

認証Cookieが盗まれなければスクリプトを許可してよいか,という問題について考えてみます。もし,ユーザがアクセスするサイトの管理者が悪意を持った人であった場合,スクリプトを実行させることで以下のことが可能です。

  • キーロガーの実行
  • アクセス履歴の盗難
  • クリップボード内の情報盗難
  • ローカルネットワークへのポートスキャン

ユーザがサイトにアクセスする場合には,これらのことを覚悟の上でアクセスすることになります。もしくは,サイトの管理者を信頼して上記のようなことはしないだろうという認識でアクセスしているのだと思います。

では,どのようなサイトであれば信頼してアクセスしているのでしょうか。多くの人は,大手企業でよく耳にするサイトだからとか,すでに信頼しているサイトからリンクされているからとか,検索エンジンで最初に出てきたからという理由だと思います。反対に,スパムメールで送られてくるような見たこともないサイトにはアクセスしないでしょう。

このような信頼関係がドメインとサイト管理者,ユーザの間には存在します。この信頼関係が崩れないようにしておく必要があります。

たとえば,http://alice.example.com/というようなサブドメインでブログサービスを提供した場合,攻撃者を含むさまざまなユーザがexample.comのサブドメインを使用してサイトを開設します。上記のような攻撃による事件が起こった場合,example.comドメインの信頼性が低下します。もし企業のWebサイトがhttp://www.example.com/であった場合には,企業サイトまでアクセス低下が予想されます。

また逆に,すでに企業のWebサイトをhttp://www.example.com/で提供している場合,ユーザはある程度example.comドメインを信頼してしまっているため,攻撃者が作成した罠サイトに誘導されやすくなります。

このようなことを防ぐためには,スクリプト実行を許可する場合には他のサービスとは全く別のドメインを使用するようにしておく必要があります。

著者プロフィール

福森大喜(ふくもりだいき)

株式会社セキュアスカイ・テクノロジー CTO。大学の授業で作成したプログラムのセキュリティホールを指摘されたのがきっかけでセキュリティの道に進む。セキュリティベンダーでIDS,IRT等に従事した後,Webアプリケーションのセキュリティ検査サービスを立ち上げる。2006年4月に株式会社セキュアスカイ・テクノロジーを設立。

URLhttp://www.securesky-tech.com/