「フレームワークを使っていれば脆弱性は出ない」って本当？ / Is it true that Framework guards us from all vulnerability?

「フレームワークを使っていれば脆弱性は出ない」って本当？そのレール、本当に乗ってますか #BSidesSendai BSides Sendai 2019 今野夕貴(@thatblue_plus)

とりあえず自己紹介だいたい仙台出身、ほぼ仙台在住学生時代を過ごした会津若松は第二の故郷新卒から10年くらい、ソフトウェアエンジニア的なお仕事をしています PHPやJavaを中心に、サーバサイドとかWebアプリケーションと呼ばれるあたりの分野をやっていま
すガルパン大好きなんですが近くにあんまり語り合える人がいないのでお友達になってください

こんな人に知ってほしい業務での開発が未経験だけど、何か自分でWeb サービスの開発をしようとしている人「脆弱性ってよくわからないけど、フレームワーク使ってたら大丈夫でしょ」って思っている初級エンジニア〜経験浅めのリードエンジニアもしくは上記のようなエンジニアを指導する立場の人へ、指針の参考として主にWebアプリケーション開発における、以下のような立場の人

「フレームワークを使っていれば脆弱性は出ない」って本当？今回は「フレームワーク＝Webアプリケーションフレームワーク」としてご理解ください

半分は本当だけど半分は間違ってると思う

どのような攻撃からどう守っているのかを知らなければ (セキュリティ的な)意味は半減します冨樫義博「幽☆遊☆白書 14巻」(集英社、1993年)

以上

……では登壇する意味がないので

フレームワークを使っていても脆弱性が入り込んでしまうポイントフレームワークやライブラリの選定ミス設定ミスフレームワークの思想を無視した実装フレームワークではどうしようもないところのカバー漏れ

フレームワークやライブラリの選定ミス

どうやって選ぶか RubyにおけるRailsのような、言語における「鉄板」があるなら従う使用者数が少ないフレームワークは自信を持って選べるようになってからで十分 Google検索などで評判を調べてみる少なくとも開発コミュニティが活発であること GitHubのstar数中心になって開発している人がどんな人なのか一万歩譲ってもセキュリティ対応期間中のもの、可能な限りリリース済みの新しいバージョンを使う

評判の信ぴょう性を判断するには結局自分が知識を持つしかない

とは言え、フレームワーク名で検索してサジェスト上位に「脆弱性」って出てくるものは避けましょうフレームワークの名誉のため、モザイク処理済

設定ミス

デフォルト設定が安全側に倒れていないケース設定変更のリスク判断が十分に出来ていないケース設定の組み合わせによって問題が起きるケース

デフォルト設定が安全側に倒れていないケース例: FuelPHP(1.8のmasterで確認)のデフォルト設定ではCSRFトークンのチェックをしておらず、オプション機能扱いになっている放っておいた場合何が起こるかは「はまちちゃん事件」で検索このときは勝手に日記を投稿されるだけで済んだから良かった(!?)ものの、勝手に商品
を購入させるようなことになってたら……

設定変更のリスク判断が十分にできていないケース DBなどに登録したHTMLをそのまま書き出したい、という要件書き出す箇所だけエスケープを外すべきところ、全体のエスケープ設定を外してしまう

フレームワークの思想を無視した実装

安全に実装する方法が分からない「自分がやりたいことはフレームワークでサポートされていない」と思い込み、フレームワークを使わない実装を始めてしまう

安全に実装する方法が分からない是非が判断できないため、Google検索で見つけた問題のある実装方法でそのまま済ませてしまうそもそも公式ドキュメントを読まない読み慣れないと望む情報にたどり着くのが大変なのはとてもよくわかる、が、読もう！

「やりたいことがフレームワークでサポートされていない」という思い込み経験の浅いエンジニアにありがちフォームデータの多次元配列データに対応していないと思い込み(というかそもそもそういう概念を知らず)、自前でPOST パラメータを読み出す処理を作り込んでしまったフレームワークのバリデーション機能でフォローできなくなるので、入力の検証が地獄になる参考元のコードに求めているパターンの実装がなく、上長に
相談しても「もっとよく見て」と適当にあしらわれる(血涙) というわけで先輩方はどうかサポートしてあげてください

ここまでは、ちゃんと「レールに乗って」いれば回避できる話

フレームワークではどうしようもないところのカバー漏れ

アクセスログを取ろうとして、リクエストパラメータに含まれていた平文のパスワードもそのままログに書き出してしまう独自のバリデーションルールを作ろうとして、正規表現をミスするそして問題のある入力を受け付けてしまう

余談:パスワードを平文で保存してはいけない理由？

フレームワークなしでもそこそこセキュアに組めるくらいの理解はないと正直厳しいと思っている結局ここに戻ってくる冨樫義博「幽☆遊☆白書 14巻」(集英社、1993年)

最低リードエンジニアくらいは、とは思うのですが

できれば、みんなで勉強して頑張ろう把握してるごく少人数で全部カバーとか死んじゃいます

みんな読もう、徳丸本正式なタイトルは「体系的に学ぶ安全なWebアプリケーションの作り方」第二版がおすすめ

正しくレールに乗ってご安全に！

「フレームワークを使っていれば脆弱性は出ない」って本当？ / Is it true that ...