徳丸浩さん「オニギリペイのセキュリティ事故に学ぶ安全なサービスの構築法」
EGセキュアソリューションズの徳丸浩さんは
オニギリペイは様々な店舗で決済され,
- 個人情報の漏洩等に対策すること
- 外部ハッカーからのサイバー攻撃に対策すること
- ウイルス対策を施すこと
- SQLインジェクション,
XSS等の脆弱性に対応すること - 不正ログイン対策をすること
- 通信路の暗号化
さらに,
そして,
キャンペーンを実施したら,某筋からお叱り
PayPayを上回るキャンペーンを実施せよ!
IDを自動発番しているのに不正ログインが多発した
不正ログインが多発しました。調べてみると,
そもそもの問題として,
なお,
2段階認証を強制しても不正ログインが止まらない
しかし2段階認証を強制しても不正ログインが止まりませんでした。これはIDとパスワードが設定された時点でセッションIDを発行していたことから,
ヘルプデスクが狙われる
ログインできないのに利用される問題も起こりました。実態はヘルプデスクからの不適切なパスワードリセットが行われていたことが原因でした。そもそも,
これは,
スマホアプリの脆弱性を連絡される
Webサーバー側は平文で保存していませんでしたが,
iO版のオニギリペイアプリがリジェクトされる
iO版のオニギリペイアプリがリジェクトされました。その原因は,
OSコマンドインジェクション
OSコマンドインジェクションがあったようです。WebShellを設置されたが,
WAFを導入したら,かえって脆弱になった
WAFの導入後,
対策としては,
では,オニギリペイはどうすればよかったのか?
このようなトラブルに見舞われたオニギリペイですが,
リスクアセスメントの方法としては,
- ベースラインアプローチ:書いてあるとおりにやればいいだろうというアプローチ。
- 非形式的アプローチ:専門家に依頼するというアプローチ。
- 詳細リスク分析:網羅的に資産や脅威を洗い出すアプローチ。
- 組み合わせアプローチ:ベースと詳細リスク分析で補う組み合わせ。
また,
セキュリティ要件の
アジャイルで開発するときも,
いまは攻撃や分析すべきことが多様になっているため,