Webアプリケーションをセキュアに（第1回）

そのWebアプリケーションが危ない　実際の事件から対策の重要性を知る

要約：「なりすまし」や「個人情報漏洩」――Webアプリケーションのぜい弱性を悪用した事件が後を絶たない。これらはアプリケーションの“作り”が問題であり，ファイアウォールやIDS（侵入検知システム）では防げない。筆者が実際に経験した事件を基に，対策の重要性を説明する。

クロスサイト・スクリプティング，SQLインジェクション，セッション・ハイジャック――。最近，これらの用語をコンピュータ雑誌やインターネット・サイトなどで見かけるケースが増えてきた。いずれも，「Webアプリケーション・セキュリティ」と呼ばれるカテゴリに分類されるクラッキング技術である。

よく見かけるようになったとはいえ，これらが何を意味するのか，自分に関係することなのか，対策はどうすればいいのか，など全体像を正しく理解しているITエンジニアは少ない。そこで本記事では，Webアプリケーションがもたらす危険性ならびに対策方法を解説していくことにする。

　まず，Webアプリケーションがなぜ危険なのか，対策の重要性を説明する。まずはどのような危険性があるのかというイメージをつかんでもらうため，筆者がセキュリティ監査などで体験した3つの事件を紹介することにしよう。なお，これらの事件はいずれも実話を基にしているが，監査者としての守秘義務があるため，細部は改変してある。

事件簿1 なりすましが簡単にできた

最初に紹介するのは，A社が運営する会員企業向け情報サイトで起きた事件である。A社ではもともとユーザーIDとパスワードで会員認証を行っていたが，認証の強度を高めるため，会員企業にデジタル証明書を配布してクライアント認証を行うことにした。

情報サイト全体はJavaサーブレットで開発されていたが，デジタル証明書を使ったクライアント認証機能に関しては，別のサブシステムで使っていたPerlの既存資産があった。このため，Javaの情報サイト本体にPerlの認証機能を組み合わせて開発することになった。 [全文]