「フレームワークを使っていれば脆弱性は出ない」って本当？ / Is it true that Framework guards us from all vulnerability?

BSides Sendai 2019発表資料

Transcript

1. 「フレームワークを使っていれば 脆弱性は出ない」って本当？ そのレール、本当に乗ってますか #BSidesSendai BSides Sendai 2019 今野夕貴(@thatblue_plus)
2. とりあえず自己紹介 だいたい仙台出身、ほぼ仙台在住 学生時代を過ごした会津若松は 第二の故郷 新卒から10年くらい、ソフトウェ アエンジニア的なお仕事をしてい ます PHPやJavaを中心に、サーバサイ ドとかWebアプリケーションと呼 ばれるあたりの分野をやっていま す ガルパン大好きなんですが近くにあ んまり語り合える人がいないのでお 友達になってください
3. こんな人に知ってほしい 業務での開発が未経験だけど、何か自分でWeb サービスの開発をしようとしている人 「脆弱性ってよくわからないけど、フレームワー ク使ってたら大丈夫でしょ」って思っている初 級エンジニア〜経験浅めのリードエンジニア もしくは上記のようなエンジニアを指導する 立場の人へ、指針の参考として 主にWebアプリケーション開発における、以下のような立 場の人
4. 「フレームワークを使っていれば 脆弱性は出ない」って本当？ 今回は 「フレームワーク＝Webアプリケーションフレームワーク」 としてご理解ください
5. 半分は本当だけど 半分は間違ってると思う
6. どのような攻撃からどう守っているのかを知らなければ (セキュリティ的な)意味は半減します 冨樫義博「幽☆遊☆白書 14巻」(集英社、1993年)
7. 以上
8. ……では登壇する意味が ないので
9. フレームワークを使っていても 脆弱性が入り込んでしまうポイント フレームワークやライブラリの選定ミス 設定ミス フレームワークの思想を無視した実装 フレームワークではどうしようもないところ のカバー漏れ
10. フレームワークや ライブラリの選定ミス
11. どうやって選ぶか RubyにおけるRailsのような、言語における「鉄板」があるなら従う 使用者数が少ないフレームワークは自信を持って選べるようになっ てからで十分 Google検索などで評判を調べてみる 少なくとも開発コミュニティが活発であること GitHubのstar数 中心になって開発している人がどんな人なのか 一万歩譲ってもセキュリティ対応期間中のもの、可能な限りリリース 済みの新しいバージョンを使う
12. 評判の信ぴょう性を判断するには 結局自分が知識を持つしかない
13. とは言え、フレームワーク名で検索してサジェスト 上位に「脆弱性」って出てくるものは避けましょう フレームワークの名誉のため、モザイク処理済
14. 設定ミス
15. デフォルト設定が安全側に倒れていないケース 設定変更のリスク判断が十分に出来ていないケー ス 設定の組み合わせによって問題が起きるケー ス
16. デフォルト設定が 安全側に倒れていないケース 例: FuelPHP(1.8のmasterで確認)のデフォル ト設定ではCSRFトークンのチェックをしてお らず、オプション機能扱いになっている 放っておいた場合何が起こるかは「はまち ちゃん事件」で検索 このときは勝手に日記を投稿されるだけで 済んだから良かった(!?)ものの、勝手に商品 を購入させるようなことになってたら……
17. 設定変更のリスク判断が 十分にできていないケース DBなどに登録したHTMLをそのまま書き出した い、という要件 書き出す箇所だけエスケープを外すべきと ころ、全体のエスケープ設定を外してしま う
18. フレームワークの思想を 無視した実装
19. 安全に実装する方法が分からない 「自分がやりたいことはフレームワークでサ ポートされていない」と思い込み、フレーム ワークを使わない実装を始めてしまう
20. 安全に実装する方法が 分からない 是非が判断できないため、Google検索で見つ けた問題のある実装方法でそのまま済ませてし まう そもそも公式ドキュメントを読まない 読み慣れないと望む情報にたどり着くのが 大変なのはとてもよくわかる、が、読もう！
21. 「やりたいことがフレームワーク でサポートされていない」という 思い込み 経験の浅いエンジニアにありがち フォームデータの多次元配列データに対応していないと思い 込み(というかそもそもそういう概念を知らず)、自前でPOST パラメータを読み出す処理を作り込んでしまった フレームワークのバリデーション機能でフォローできな くなるので、入力の検証が地獄になる 参考元のコードに求めているパターンの実装がなく、上長に 相談しても「もっとよく見て」と適当にあしらわれる(血涙) というわけで先輩方はどうかサポートしてあげてください
22. ここまでは、 ちゃんと「レールに乗って」いれば 回避できる話
23. フレームワークでは どうしようもないところの カバー漏れ
24. アクセスログを取ろうとして、リクエストパ ラメータに含まれていた平文のパスワードも そのままログに書き出してしまう 独自のバリデーションルールを作ろうとして、 正規表現をミスする そして問題のある入力を受け付けてしまう
25. 余談:パスワードを平文で 保存してはいけない理由？
26. フレームワークなしでもそこそこセキュアに 組めるくらいの理解はないと正直厳しいと思っている 結局ここに戻ってくる 冨樫義博「幽☆遊☆白書 14巻」(集英社、1993年)
27. 最低リードエンジニアくらいは、 とは思うのですが
28. できれば、みんなで勉強して頑張ろう 把握してるごく少人数で全部カバーとか死んじゃいます
29. みんな読もう、徳丸本 正式なタイトルは「体系的に学ぶ 安全なWebアプリケーションの作り方」 第二版がおすすめ
30. 正しくレールに乗って ご安全に！