「フレームワークを使っていれば脆弱性は出ない」って本当？ / Is it true that Framework guards us from all vulnerability?

Slide 1

Slide 1 text

「フレームワークを使っていれば脆弱性は出ない」って本当？そのレール、本当に乗ってますか #BSidesSendai BSides Sendai 2019 今野夕貴(@thatblue_plus)

Slide 2

Slide 2 text

とりあえず自己紹介だいたい仙台出身、ほぼ仙台在住学生時代を過ごした会津若松は第二の故郷新卒から10年くらい、ソフトウェアエンジニア的なお仕事をしています PHPやJavaを中心に、サーバサイドとかWebアプリケーションと呼ばれるあたりの分野をやっていますガルパン大好きなんですが近くにあんまり語り合える人がいないのでお友達になってください

Slide 3

Slide 3 text

こんな人に知ってほしい業務での開発が未経験だけど、何か自分でWeb サービスの開発をしようとしている人「脆弱性ってよくわからないけど、フレームワーク使ってたら大丈夫でしょ」って思っている初級エンジニア〜経験浅めのリードエンジニアもしくは上記のようなエンジニアを指導する立場の人へ、指針の参考として主にWebアプリケーション開発における、以下のような立場の人

Slide 4

Slide 4 text

「フレームワークを使っていれば脆弱性は出ない」って本当？今回は「フレームワーク＝Webアプリケーションフレームワーク」としてご理解ください

Slide 5

Slide 5 text

半分は本当だけど半分は間違ってると思う

Slide 6

Slide 6 text

どのような攻撃からどう守っているのかを知らなければ (セキュリティ的な)意味は半減します冨樫義博「幽☆遊☆白書 14巻」(集英社、1993年)

Slide 7

Slide 7 text

以上

Slide 8

Slide 8 text

……では登壇する意味がないので

Slide 9

Slide 9 text

フレームワークを使っていても脆弱性が入り込んでしまうポイントフレームワークやライブラリの選定ミス設定ミスフレームワークの思想を無視した実装フレームワークではどうしようもないところのカバー漏れ

Slide 10

Slide 10 text

フレームワークやライブラリの選定ミス

Slide 11

Slide 11 text

どうやって選ぶか RubyにおけるRailsのような、言語における「鉄板」があるなら従う使用者数が少ないフレームワークは自信を持って選べるようになってからで十分 Google検索などで評判を調べてみる少なくとも開発コミュニティが活発であること GitHubのstar数中心になって開発している人がどんな人なのか一万歩譲ってもセキュリティ対応期間中のもの、可能な限りリリース済みの新しいバージョンを使う

Slide 12

Slide 12 text

評判の信ぴょう性を判断するには結局自分が知識を持つしかない

Slide 13

Slide 13 text

とは言え、フレームワーク名で検索してサジェスト上位に「脆弱性」って出てくるものは避けましょうフレームワークの名誉のため、モザイク処理済

Slide 14

Slide 14 text

設定ミス

Slide 15

Slide 15 text

デフォルト設定が安全側に倒れていないケース設定変更のリスク判断が十分に出来ていないケース設定の組み合わせによって問題が起きるケース

Slide 16

Slide 16 text

デフォルト設定が安全側に倒れていないケース例: FuelPHP(1.8のmasterで確認)のデフォルト設定ではCSRFトークンのチェックをしておらず、オプション機能扱いになっている放っておいた場合何が起こるかは「はまちちゃん事件」で検索このときは勝手に日記を投稿されるだけで済んだから良かった(!?)ものの、勝手に商品を購入させるようなことになってたら……

Slide 17

Slide 17 text

設定変更のリスク判断が十分にできていないケース DBなどに登録したHTMLをそのまま書き出したい、という要件書き出す箇所だけエスケープを外すべきところ、全体のエスケープ設定を外してしまう

Slide 18

Slide 18 text

フレームワークの思想を無視した実装

Slide 19

Slide 19 text

安全に実装する方法が分からない「自分がやりたいことはフレームワークでサポートされていない」と思い込み、フレームワークを使わない実装を始めてしまう

Slide 20

Slide 20 text

安全に実装する方法が分からない是非が判断できないため、Google検索で見つけた問題のある実装方法でそのまま済ませてしまうそもそも公式ドキュメントを読まない読み慣れないと望む情報にたどり着くのが大変なのはとてもよくわかる、が、読もう！

Slide 21

Slide 21 text

「やりたいことがフレームワークでサポートされていない」という思い込み経験の浅いエンジニアにありがちフォームデータの多次元配列データに対応していないと思い込み(というかそもそもそういう概念を知らず)、自前でPOST パラメータを読み出す処理を作り込んでしまったフレームワークのバリデーション機能でフォローできなくなるので、入力の検証が地獄になる参考元のコードに求めているパターンの実装がなく、上長に相談しても「もっとよく見て」と適当にあしらわれる(血涙) というわけで先輩方はどうかサポートしてあげてください

Slide 22

Slide 22 text

ここまでは、ちゃんと「レールに乗って」いれば回避できる話

Slide 23

Slide 23 text

フレームワークではどうしようもないところのカバー漏れ

Slide 24

Slide 24 text

アクセスログを取ろうとして、リクエストパラメータに含まれていた平文のパスワードもそのままログに書き出してしまう独自のバリデーションルールを作ろうとして、正規表現をミスするそして問題のある入力を受け付けてしまう

Slide 25

Slide 25 text

余談:パスワードを平文で保存してはいけない理由？

Slide 26

Slide 26 text

フレームワークなしでもそこそこセキュアに組めるくらいの理解はないと正直厳しいと思っている結局ここに戻ってくる冨樫義博「幽☆遊☆白書 14巻」(集英社、1993年)

Slide 27

Slide 27 text

最低リードエンジニアくらいは、とは思うのですが

Slide 28

Slide 28 text

できれば、みんなで勉強して頑張ろう把握してるごく少人数で全部カバーとか死んじゃいます

Slide 29

Slide 29 text

みんな読もう、徳丸本正式なタイトルは「体系的に学ぶ安全なWebアプリケーションの作り方」第二版がおすすめ

Slide 30

Slide 30 text

正しくレールに乗ってご安全に！