月: 2006年3月

RFIDタグによる攻撃

RFIDを使ってSQLインジェクションという話題があるようですが、ID3やEXIFなどのタグ情報を使った攻撃は既知の問題です。バッファオーバーフローを使ったウィルス感染の危険性も指摘されていますが、バッファオーバーフローも既知ですね。セキュリティ上の問題に気が付くか（気を付ける?）は簡単な基礎知識を持っているか持っていないかによって違いが出る例です。

普通に作れば直接SQLインジェクションは確実に防いていると思いますが、セカンドオーダSQLインジェクション（間接SQLインジェクション）を防ぐにはプログラマが意識して入力確認を確実に行わないと問題が発生します。

Flash Playerはバージョンアップ不可?

私の環境だけなのかも知れませんが、WindowsXP+FirefoxにFlash Player 8のバージョンアップがインストールできません。自己解凍EXEをダウンロードしたのですが解凍したあとインストーラが起動せずに終了しているようです。ウィザード画面も開かず勝手にインストールが終了した(?)ようです。Firefoxを再起動すると8.0.22->8.0.24にバージョンアップされていました。（勝手にインストールしたのではなくてENTERキーが押せたのかな??そのうち別のXPでも試して見ますが勝手にインストールするのも良くないですし、再インストールしたらインストール済みであることを表示してほしいです。）

Critical vulnerabilities have been identified in Flash Player that could allow an attacker who successfully exploits these vulnerabilities to take control of the affected system.

http://www.macromedia.com/devnet/security/security_zone/apsb06-03.html

とあるように、コンピュータを乗っ取られる可能性があります。Flash Player 8.0.22以前のユーザはバージョンアップの必要があります。

それにしてもこのような情報は判りやすい所に書くべきと思いますが、Macromediaのセキュリティ情報は分かりづらいところにあります。分かりづらいというより普通のユーザは絶対に見ない(?)Developerのページからさらに2クリック必用なところにセキュリティ情報が記載されています。普通のユーザはサイトを見ていても更新の必要があることさえ気が付かないと思うのですが… Adobeに買収されたので改善を期待したいところですが、Adobeのセキュリティ情報の公開方法も親切とは言いがたいので期待できないかも知れませんね…

Webアプリセキュリティ対策入門

追記：CSRFの件、以下に記載しています。

http://blog.ohgaki.net/index.php/yohgaki/2006/04/02/a_ma_sa_sa_a_ia_ca_sa_rhtmleosa_ia_a_iea

よろしければどうぞ。

—-

新しい書籍で紹介した本がもうアマゾンで予約できるようになったようです。早い…

Webアプリケーションのセキュリティ対策の入門書を執筆させていただきました。
タイトルは「Webアプリセキュリティ対策入門」です。

手っ取り早くセキュリティ対策を済ませてしまいたい方には向いていません。「プログラミングはできるんだけどWebアプリには自信がない」と思われている方には適していると思います。Webプログラミングをこれから始める方にも是非読んで頂きたいです。Webアプリのセキュリティ対策を十分知っている方は立ち読みしてください。（笑

サンプルプログラムはPHPですがPHP専用ではなく、対策など内容はより一般的に利用できるように心がけました。「具体的な対策が少ない」とコメントを頂くかもしれませんが、私はセキュリティ対策で最も重要なことを1つだけあげるとすれば「姿勢」と答えます。どのような「姿勢」で設計・実装するのか理解していただければ、具体的な対策（コード）が少なくてもセキュアなWebアプリケーションを構築できると考えています。本書では小手先のテクニックや知識に頼らなくても安全なアプリケーション構築ができるように執筆しました。

基礎編、概念編、実践編の3部構成になっており、基礎編ではセキュリティ対策の基礎、概念編ではWebアプリケーションの代表的なリスク、実践編ではPHPコードを交えてより具体的な対策を解説しています。

Web開発に関わる方の一助になれば幸いです。

参考：Wikiのこの書籍のページ。以下目次の一部

第1 部基礎編―――セキュリティ対策の基礎知識
CHAPTER:1 　セキュリティ対策とは?
1-1 セキュリティ対策の基礎知識
1-2 セキュリティ対策の現状
1-3 セキュリティ確保―――何をどのような脅威から守るのか?
1-4 2 つのセキュリティ対策のモデル
1-5 フェイルセーフ（Failsafe）
1-6 多重のセキュリティ
1-7 攻撃可能な箇所の削減
1-8 脆弱性とセキュリティホール
CHAPTER:2 　Web サイトセキュリティの基礎知識
2-1 Web サイトで100% 安全なサービスを提供できるか?
2-2 間違った認識の例―――SSL/TLS の安全性、クッキーの弊害、
ソフトウェアキーボード、暗号表
2-3 安全性と利便性
2-4 Web サイトは最も危険なサービスの一つ
第2 部概念編―――脆弱性対策の基礎知識
CHAPTER:3 　Web システムの脆弱性
3-1 プログラムの不具合のよる脆弱性
3-2 アプリケーション設計の不具合による脆弱性
3-3 システム管理の不具合による脆弱性
3-4 システム環境の不具合による脆弱性
CHAPTER:4 　固有の名称を持つWeb サイトの攻撃手法
4-1 クロスサイトスクリプティング（Cross Site Scripting XSS）
4-2 SQL インジェクション（SQL Injection）
4-3 HTTP レスポンススプリッティング（HTTP Response Splitting）
4-4 クロスサイトリクエストフォージェリ（Site Request Forgery CSRF）
4-5 バッファオーバーフロー（Buffer Overflow）
4-6 LDAP インジェクション（LDAP Injection）
4-7 XML インジェクション（XML Injection）
4-8 XPath インジェクション（XPath Injection）
4-9 パラメータ改ざん（Parameter Manipulation）
4-10 隠しフィールドの改ざん（Hidden Field Manipulation）
4-11 クッキーの改ざん（Cookie Manipulation）
4-12 クロスサイトトレーシング（Cross Site Tracing XST）
4-13 ディレクトリ遷移（Directory Traversal）
4-14 パスの漏洩（Path Disclosure）
4-15 ヌルバイト（Null Byte / Null Character）
4-16 強制ブラウズ（Forceful Browsing）
4-17 セッションハイジャック（Session Hijack）
4-18 コマンドインジェクション
（Command Injection / Command Insertion）
4-19 プログラムの実行（Code Execution）
4-20 サービス不能（Denial of Service DoS）
4-21 その他の攻撃手法
CHAPTER:5 　Web サイトの脆弱性
5-1 入力の確認不足
5-2 フィルタ処理の不備
5-3 ファイルの不正参照
5-4 アクセスコントロールの不備
5-5 セッション管理の不備
5-6 エラー処理の不備
5-7 設定管理の不備

URIのデコード回数を検知?!

オライリーのONLampにURIのデコード回数を検知する仕組みを紹介したA Canary Trap for URI Escapingですが、セキュリティ的には良いプラクティスとは言えませんね…

このような仕組を取り入れるより、アプリケーションを正しく作り、正しくエンコード・デコードされるようにするべきです。このような事が一般的になれば、IPSによる保護がさらに難しくなります。

コメントを書いておこうか、と思ったら先にもう書いている人がいますね。

「ウィニー使いません」　愛媛県警、全職員に誓約書

誓約書は

　（１）公務に使うパソコンやフロッピーディスクなどを許可なく外部に持ち出さない
　（２）私物パソコンであってもファイル交換ソフトを入れない

の２項目。

この2項目のだけだとすると、突っ込みどころ多数です。
ニュースに流す（？）くらいならセキュリティと法律の専門家に相談してから誓約書を作った方がよいのではないでしょうか…

警察はプロの犯罪者に狙われやすい職業と思われますが、この誓約書からすると許可があれば私物パソコンを業務に使っていると思われます。自衛隊でさえ私物パソコンで機密資料を参照しても良いようなので普通に行われているのでしょう。

2項目にするなら

-許可無くデータのコピーは作成しない
-認定したコンピュータ以外ではデータを参照しない

といった感じでしょうね。こんな誓約書にすると業務がまわらなくなるから本当に困るのでしょうけど。

万能ではないセキュリティ対策

2005年11月、インシデントレスポンス、コンピュータ・フォレンジックなどITセキュリティサービスを提供するGuidance Softwareの顧客データベースにハッカーが侵入。情報を盗難する事件があった。

セキュリティ対策は万能ではないのは常識ですがセキュリティツールを販売している会社のサーバがクラックされるのは痛いですね。医者の不養生といいますがフォレンジックツールを販売している会社を狙うとは…. プロの犯罪者はすごいですね。