セキュリティ / 2023 ニフティ新人研修

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Copyright © NIFTY Corporation All Rights Reserved. ⚠ 講義を受けるにあたって ⚠ 2 講義資料は基本的に世の中⼀般での話を記載しています本講義はWebサービスの開発を⾏うにあたり必要となるセキュリティの基礎知識について理解していただくことが⽬的となります。講義内容は、不正な⽬的で実⾏すると不正アクセス禁⽌法をはじめとする法律抵触する可能性があるものも含まれます。⽬的は情報提供であり犯罪を助⻑するものではありませんので予めご理解ください。

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Copyright © NIFTY Corporation All Rights Reserved. 4 ⽬次 01 セキュリティ⼊⾨ - セキュリティ3要素と脆弱性 - 情報セキュリティの10⼤脅威 - 最近起こったセキュリティ事件 02 Webアプリでの攻撃⼿法 - HTMLのソースからの機密情報漏洩 - SQLインジェクション - XSS（クロスサイトスクリプティング） - CSRF（クロスサイトリクエストフォージェリ） 03 Webアプリの開発にあたって - 脆弱性情報について - GitHub利⽤上の注意

Slide 5

Slide 5 text

Copyright © NIFTY Corporation All Rights Reserved. 5 ⽬次 01 セキュリティ⼊⾨ - セキュリティ3要素と脆弱性 - 情報セキュリティの10⼤脅威 - 最近起こったセキュリティ事件 02 Webアプリでの攻撃⼿法 - HTMLのソースからの機密情報漏洩 - SQLインジェクション - XSS（クロスサイトスクリプティング） - CSRF（クロスサイトリクエストフォージェリ） 03 Webアプリの開発にあたって - 脆弱性情報について - GitHub利⽤上の注意

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Copyright © NIFTY Corporation All Rights Reserved. セキュリティの3要素 7 完全性 Integrity 機密性 Confidentialit y 可⽤性 Availabilit y 情報セキュリティは、機密性、完全性、可⽤性を維持すること以下を加えて7要素とも真正性(authenticity) 責任追跡性(accountability) 否認防⽌(non-repudiation) 信頼性(reliability)

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Copyright © NIFTY Corporation All Rights Reserved. 17 ⽬次 01 セキュリティ⼊⾨ - セキュリティ3要素と脆弱性 - 情報セキュリティの10⼤脅威 - 最近起こったセキュリティ事件 02 Webアプリでの攻撃⼿法 - HTMLのソースからの機密情報漏洩 - SQLインジェクション - XSS（クロスサイトスクリプティング） - CSRF（クロスサイトリクエストフォージェリ） 03 Webアプリの開発にあたって - 脆弱性情報について - GitHub利⽤上の注意

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Copyright © NIFTY Corporation All Rights Reserved. 21 例えば、ログイン時にID/PWを⼊⼒してログインする場合にこのようなクエリが組み⽴てられる… ①ID/PWを⼊⼒欄へ⼊⼒ ② ⼊⼒されたSQL⽂が埋め込まれたクエリを発⾏脆弱性のある Webアプリデータベースユーザー SELECT id FROM users WHERE id = '{id}' AND passwd = '{passwd}' SQLインジェクション

Slide 22

Slide 22 text

Copyright © NIFTY Corporation All Rights Reserved. 22 通常時 ①ID/PWを⼊⼒欄へ⼊⼒ ② ⼊⼒されたSQL⽂が埋め込まれたクエリを発⾏脆弱性のある Webアプリデータベースユーザー id = admin passwd = pizza SELECT id FROM users WHERE id = 'admin' AND passwd = 'pizza' SQLインジェクション

Slide 23

Slide 23 text

Copyright © NIFTY Corporation All Rights Reserved. 23 脆弱性を利⽤されると… ①ID/PWを⼊⼒欄へ⼊⼒ ② ⼊⼒されたSQL⽂が埋め込まれたクエリを発⾏脆弱性のある Webアプリデータベース攻撃者 SQLインジェクション id = admin passwd = ʼ OR ʻtʼ = ʻt SELECT id FROM users WHERE id = 'admin' AND passwd = '' OR 't' = 't'

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Copyright © NIFTY Corporation All Rights Reserved. SQLインジェクションの対策 25 1.プリペアドステートメントを利⽤する 2. Webフレームワーク（ORM）を利⽤する 3. WAF（Web Application Firewall）を利⽤する $data = $db->prepare( 'SELECT id FROM users WHERE id = (:id) LIMIT 1;' ); $data->bindParam( ':id', $id, PDO::PARAM_INT ); $data->execute();

Slide 26

Slide 26 text

Copyright © NIFTY Corporation All Rights Reserved. XSS（Cross Site Scripting／クロスサイトスクリプティング） 26 XSSとは、どんな問題か︖ - ユーザのブラウザ上で攻撃者のスクリプトが実⾏される XSSとは、どんな影響があるか︖ - セッションIDの摂取 - 再認証を伴わない機能の不正使⽤ - コンテンツの改ざんなど XSSとは、どんな機能で発⽣するか︖ - ユーザの⼊⼒値を出⼒するWebページ罠サイトや罠Eメール脆弱なサイト混乱を避けるため、CSSとは略称されない︕

Slide 27

Slide 27 text

Copyright © NIFTY Corporation All Rights Reserved. XSSざっくりイメージ 27 xss emtg alert('Hello World') scriptタグで囲まれた所に、JavaScriptコードを埋め込める︕ (悪意のあるスクリプト) HTML xss emtg alert('Hello World') scriptタグとかも⼊⼒できてしまったら... 対策もされていなかったら.... ⼊⼒値が挿⼊できるとするスクリプト実⾏⼊⼒ (悪意のあるスクリプト)

Slide 28

Slide 28 text

Copyright © NIFTY Corporation All Rights Reserved. XSSの種類 28 反射型（Reflected）リクエストの⼊⼒値をレスポンスに出⼒する際に発⽣蓄積型（Stored）データストアに保存した⼊⼒値を出⼒する際に発⽣ DOM Based ⼊⼒値をJavaScript上で不適切に使⽤することで発⽣詳細は以下を参考 https://jvndb.jvn.jp/ja/cwe/CWE-79.html 検索サイト掲⽰板サイト

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Copyright © NIFTY Corporation All Rights Reserved. XSSの対策（⼀部） 30 変換前 ʻ “ ＜＞＆変換後 ' $quot; < $gt; & Webページに出⼒する全ての要素に対して、エスケープ処理を施す <script></script> エスケープ処理スクリプトとして解釈されなくなる︕ 詳細は以下を参考 https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html 超基本

Slide 31

Slide 31 text

Copyright © NIFTY Corporation All Rights Reserved. 参考︓ Webアプリケーションフレームワーク HTML⾃動エスケープ 31 ● Flask → デフォルトで⾃動エスケープ（拡張⼦が限定 .html, .htm, .xml など） https://msiz07-flask-docs-ja.readthedocs.io/ja/latest/templating.html ● Django → デフォルトで⾃動エスケープ https://docs.djangoproject.com/ja/4.2/ref/templates/language/#automatic-html-escaping ● FastAPI（≒ starlette） → デフォルトで⾃動エスケープドキュメントに書いてなさそう︖ ⾒つけたら教えて〜 https://github.com/encode/starlette/blob/24c1fac62a80bb153c6548145334fc643991e35a/starlette/templating.py#L87 Pythonだけで、すみません... 😥 HTML⾃動エスケープするように設定されているのがほとんど。 Webフレームワークを使うのは良い選択です︕ セキュリティが全て担保される訳ではありません。各リファレンス等を⾒てください。

Slide 32

Slide 32 text

Copyright © NIFTY Corporation All Rights Reserved. XSSの対策（⼀部） 32 URLの出⼒は [http://]や [https://] で始まるURLのみを許可 ... 要素の内容を動的に⽣成しない詳細は以下を参考 https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html HTML（aタグ）「javascript: (スクリプト)」とするとaタグをクリックした際にJavaScriptを実⾏させることができる︕ 上⼿く悪⽤されて任意のスクリプトを埋め込まれる可能性が⽣じるのを防ぐ

Slide 33

Slide 33 text

Copyright © NIFTY Corporation All Rights Reserved. XSSの対策（⼀部） 33 詳細は以下を参考 https://www.ipa.go.jp/security/vuln/websecurity/cross-site-scripting.html https://developer.mozilla.org/ja/docs/Web/HTTP/Cookies CookieにHttpOnly、Secure属性を付けるなど⼊⼒値の内容チェック数字のみの⼊⼒フォーム（例えば、電話番号、郵便番号など） 012345678 数字以外が存在したら受け⼊れない︕ HttpOnly ・・・ JavaScriptからCookieの値にアクセスするのを防ぐ Secure ・・・ HTTPS通信でのみ送信される

Slide 34

Slide 34 text

Copyright © NIFTY Corporation All Rights Reserved. コラム︓⼊⼒値について 34 「０」か「１」しか⼊⼒されない︖ JavaScriptなどで⼊⼒値をチェックしている場合でも、JSの無効化／書き換えがされるかも︕ サーバに送信された値を、サーバ側でちゃんとチェックが必要ラジオボタン形式の⼊⼒フォーム「会員 = 1」「会員でない = 0」いえ、開発ツールやプロキシツールでGETやPOSTの値は簡単に書き換えられます︕

Slide 35

Slide 35 text

Copyright © NIFTY Corporation All Rights Reserved. CSRF(Cross Site Request Forgeries／クロスサイトリクエストフォージェリ） 35 CSRFとは、どんな問題か︖ - 他サイトからのリクエストが実⾏される CSRFとは、どんな影響があるか︖ (ログイン済みの場合) - 利⽤者のみが利⽤可能なサービスの悪⽤ - ユーザが意図していない操作が実⾏ CSRFとは、どんな機能で発⽣するか︖ - ⼊⼒データを使って処理するすべての機能画像引⽤︓ 「IPA - 安全なウェブサイトの作り⽅ - 1.6 CSRF （クロスサイト・リクエスト・フォージェリ）」 https://www.ipa.go.jp/security/vuln/websecurity/csrf.html

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Copyright © NIFTY Corporation All Rights Reserved. CSRFの対策（⼀部） 38 前のページで秘密情報を挿⼊し、実⾏ページでその値が正しいことを確認する前のページ＋ hiddenパラメータ POST hiddenパラメータで送られたトークンを検証する⼊⼒データ＋ hiddenパラメータ⼊⼒フォーム検証が通れば実⾏︕ 処理詳細は以下を参照 https://www.ipa.go.jp/security/vuln/websecurity/csrf.html hiddenパラメータには独⾃に⽣成された予測困難な値を使う（Webフレームワークでは⼤体これ）⼊⼒確認実⾏ hiddenを仕込む hiddenを⼀緒に送る

Slide 39

Slide 39 text

Copyright © NIFTY Corporation All Rights Reserved. CSRFの対策（⼀部） 39 reCAPTCHAを使う Refererが正しいリンク元か確認する Refererが空の場合は、処理を実⾏しないようでないと意味がない。しかし、Refererを送信しないユーザに不都合が起こってしまう。詳細は以下を参照 https://www.ipa.go.jp/security/vuln/websecurity/csrf.html https://aaaa https://bbbb https://aaaa Referer ・・・直前にいたURL ブラウザが勝⼿につけてくれる

Slide 40

Slide 40 text

Copyright © NIFTY Corporation All Rights Reserved. 40 ⽬次 01 セキュリティ⼊⾨ - セキュリティ3要素と脆弱性 - 情報セキュリティの10⼤脅威 - 最近起こったセキュリティ事件 02 Webアプリでの攻撃⼿法 - HTMLのソースからの機密情報漏洩 - SQLインジェクション - XSS（クロスサイトスクリプティング） - CSRF（クロスサイトリクエストフォージェリ） 03 Webアプリの開発にあたって - 脆弱性情報について - GitHub利⽤上の注意

Slide 41

Slide 41 text

Copyright © NIFTY Corporation All Rights Reserved. 脆弱性情報 41 脆弱性情報を⾒る上で、知っておきたい3つの⽤語・CVSS（Common Vulnerability Scoring System）・共通脆弱性評価システム・脆弱性の深刻度を評価する指標・CWE（Common Weakness Enumeration）・共通脆弱性タイプ⼀覧・ソフトウェアにおけるセキュリティ上の脆弱性の種類を識別するための共通の基準・CVE（Common Vulnerabilities and Exposures）・共通脆弱性識別⼦・1999年に運⽤を開始したサイバーセキュリティの脆弱性に関する共通名の辞書

Slide 42

Slide 42 text

Slide 43

Slide 43 text

Slide 44

Slide 44 text

Copyright © NIFTY Corporation All Rights Reserved. GitHubでのソース流出と対策 44 GitHubでのソース流出等のセキュリティ事件は近年よく起こります。ただ、そのほとんどが⼈為的なミスによるものです︕ GitHubソースコードの流出事件 https://www.itmedia.co.jp/news/articles/2101/29/news107. html GitHubでの個⼈情報漏洩 https://www.itmedia.co.jp/business/articles/2210/07/news1 74.html ・個⼈アクセストークンの保管に注意する・セキュアな情報の公開に気をつけるいくつかの社内ルールはNotionでまとめられています︕

Slide 45

Slide 45 text

Copyright © NIFTY Corporation All Rights Reserved. まとめ 45 開発する上で共通して守ってほしいセキュリティについてお話ししました。 ➢ 脆弱性が残っていると重⼤な情報漏えいにつながることがあります。既知の脆弱性を理解し、対策をしましょう。 ➢ Webアプリケーションの代表的な攻撃⼿法を説明しました。世の中のWebフレームワークでは対策が取られている部分が多いですが完璧ではないです。知識として知っておき必要な対策を取れるようにしましょう。 ➢ 脆弱性情報の紹介、GitHub利⽤上の注意もしました。今後、様々なツールを使うことになると思います。脆弱性情報を注視して、利⽤ルールを守って使いましょう。

Slide 46

Slide 46 text

Copyright © NIFTY Corporation All Rights Reserved. （参考）もっとWebセキュリティを勉強したい 46 書籍 ● “体系的に学ぶ安全なWebアプリケーションの作り⽅第2版” - 徳丸浩著 Web資料 ● IPA - 安全なウェブサイトの作り⽅ https://www.ipa.go.jp/security/vuln/websecurity.html ワークショップ ● AWS Security Workshops https://awssecworkshops.com/