コーダーがセキュリティを征服:共有して学ぶシリーズ-セッション管理の弱点

Web サイトに移動してログインします。通常どおり、購入したい商品をカートに入れます。すると、おっと、手が滑ってブラウザタブが閉じます。ちょっとしたパニックの後、ブラウザにサイトのURLを入力し、「Enter」キーを押します。サイトに戻ってログインしても、すべてのアイテムがカートに入っています。ふう。

サイトは再認証せずにあなたが誰であるかをどうやって知ったのですか？セッションを使用していたので、あなたを識別しました。セッションは、Web を使用する際に優れたユーザーエクスペリエンスを実現するための鍵です。ただし、セッションを誤って管理すると、攻撃者が悪用できるセキュリティホールが発生する可能性があります。

次に、セッション管理が何を意味するのか、弱いセッション管理がどれほど害を及ぼすのか、そしてセッションを適切に管理するために何ができるのかを確認しましょう。

セッション管理の弱点を理解する

セッションとは、アプリケーションの 1 人のユーザーに固有の、サーバーに保存されている値を指します。これが必要となる理由は 2 つあります。1 つ目は、HTTP がステートレスプロトコルであることです。各リクエストは個別であり、その前または後に送信されたリクエストは認識されません。セッションは、誰がリクエストを送信したかをサーバーが追跡するのに役立ちます。そうしないと、ボタンやリンクをクリックするたびにログインする必要があります。

セッションの2つ目の理由は、ユーザーの承認です。セッション ID は、システム内で特定の権限を持つ特定のユーザーを識別するために使用できます。アプリケーションでは、そのユーザーが誰で、どのような操作が許可されているかがわかります。

セッションには 2 つのコンポーネントがあります。サーバー側のデータストアにはセッション ID が格納され、ユーザー ID やカート情報などのユーザーに関する情報にマッピングされます。同じセッション ID が Cookie としてブラウザに送信されます。クッキーはブラウザによってユーザーのシステムに保存されます。クライアントはリクエストごとに Cookie を渡し、このリクエストが同じユーザーからのものであることをサーバーに知らせます。ほとんどのアプリケーションでは、認証前と認証後の両方でセッションを使用してユーザーを追跡します。

アプリケーションのセキュリティには、適切なセッション管理が不可欠です。有効なセッション ID は、ユーザー名/パスワード、あるいは第 2 要素認証トークンと同等の信頼度を持ちます。

不適切なセッション管理が危険な理由

セッション管理が不十分だと、アカウントが完全に乗っ取られる可能性があります。つまり、顧客データが盗まれたり、製品が不正に購入されたりする可能性があります。攻撃者が有効なセッション ID を入手する方法はいくつかあります。

A セッション固定攻撃 ユーザーがシステムにログインしたときなど、重要なタイミングでセッションが変更されない場合、および URL を使用してセッション識別子を設定できる場合に発生します。この方法でセッション ID を設定すると、同じ認証ソースを使用するさまざまなアプリケーションにユーザーがログインし続けることができます。この場合、攻撃者は Web サイトを閲覧してセッション ID を取得できます。その後、攻撃者は疑いのない被害者に、URL にセッション ID を記載した URL を電子メールで送信します。被害者はメールに記載されている URL をクリックし、Web サイトにログインします。ログイン時にセッション ID がローテーションされない場合、攻撃者は認証済みの有効なセッション ID を持っていることになります。これにより、アカウントを完全に乗っ取ることができます。

不適切なセッション管理に対するもう 1 つの攻撃は、ブルートフォース推測攻撃です。開発者が独自のセッション管理システムを作成しようとすると、推測が簡単なセッション ID を使用することがよくあります。これらはシーケンス (1、2、3) でも、ある種の予測可能なパターンでもかまいません。攻撃者は、有効なセッション ID が見つかるまでセッション ID を推測し続けるだけです。これはアカウントの乗っ取りにもつながります。

一定時間が経過しても自動的に無効にならないセッションは、ユーザーを攻撃するために悪用される可能性があります。は成功しました。 クロスサイトリクエストフォージェリ 攻撃は、ユーザーがサイトを離れても有効なセッションに依存します。攻撃者が、ユーザーがアクセスしたサイトに iframe や画像を配置したとします。「src」(source) 属性は脆弱なサイトの URL に設定され、ユーザーに代わってアクションを実行します。たとえば、脆弱なバンキングアプリケーションが、ユーザーの許可なしに攻撃者の口座に送金させる可能性があります。

セッション管理は難しい場合があり、弱点は壊滅的な場合があります。しかし、これはよく知られた問題であり、解決できます。

安全でないセッション管理を打ち負かす

セッション管理は、あらゆる Web アプリケーションの中核です。そのため、多くの Web 開発フレームワークにはセッション管理機能が組み込まれています。これらのシステムは、問題を見つけて取り除くために専門家によって精査されています。それらを使用してください。

いくつかの一般的なプロパティ 優れたセッション管理 含む:

攻撃者が推測できないランダムなセッション ID が生成される

ユーザーがログアウトすると、セッションは無効になります

セッションは、一定時間が経過すると自動的に無効になります

セッション ID は、ユーザーがログインした後に変更されます

ブルートフォース攻撃を防ぐための 128 ビット以上のセッション ID

Spring などのウェブフレームワーク ASP.NET Core、 レール、および ジャンゴ これらの特性を持っているので、この場合はより高いセキュリティ基準で使用する必要があります。

結論:独自のセッション管理システムをゼロから作成しないでください。

セッション ID を作成したら、保護する必要があります。を設定します。 セキュアフラグと HTTP 専用フラグ セッションクッキーを「true」に設定します。これにより、JavaScript でクッキーの値を取得できず、ブラウザは HTTPS 経由でのみクッキーを送信するので、攻撃者が送信中のセッションを盗むことを防ぐことができます。

セッションのセキュリティを確保

無料の学習リソースをご覧ください 安全なセッション管理の詳細については、こちらをご覧ください。セッションを保護する方法を学ぶことで、セキュリティ違反によるユーザーアカウントの乗っ取り、評判の低下、収益の損失を防ぐことができます。セッションを保護し、ユーザーの安全を守りましょう。