「フレームワークを使っていれば脆弱性は出ない」って本当？ / Is it true that Framework guards us from all vulnerability?

BSides Sendai 2019発表資料

Transcript

1. 「フレームワークを使っていれば
   脆弱性は出ない」って本当？
   そのレール、本当に乗ってますか
   #BSidesSendai
   BSides Sendai 2019
   今野夕貴(@thatblue_plus)
   

   View Slide

2. とりあえず自己紹介
   だいたい仙台出身、ほぼ仙台在住
   学生時代を過ごした会津若松は
   第二の故郷
   新卒から10年くらい、ソフトウェ
   アエンジニア的なお仕事をしてい
   ます
   PHPやJavaを中心に、サーバサイ
   ドとかWebアプリケーションと呼
   ばれるあたりの分野をやっていま
   す
   ガルパン大好きなんですが近くにあ
   んまり語り合える人がいないのでお
   友達になってください
   

   View Slide

3. こんな人に知ってほしい
   業務での開発が未経験だけど、何か自分でWeb
   サービスの開発をしようとしている人
   「脆弱性ってよくわからないけど、フレームワー
   ク使ってたら大丈夫でしょ」って思っている初
   級エンジニア〜経験浅めのリードエンジニア
   もしくは上記のようなエンジニアを指導する
   立場の人へ、指針の参考として
   主にWebアプリケーション開発における、以下のような立
   場の人
   

   View Slide

4. 「フレームワークを使っていれば
   脆弱性は出ない」って本当？
   今回は
   「フレームワーク＝Webアプリケーションフレームワーク」
   としてご理解ください
   

   View Slide

5. 半分は本当だけど
   半分は間違ってると思う
   

   View Slide

6. どのような攻撃からどう守っているのかを知らなければ
   (セキュリティ的な)意味は半減します
   冨樫義博「幽☆遊☆白書 14巻」(集英社、1993年)
   

   View Slide

7. 以上
   

   View Slide

8. ……では登壇する意味が
   ないので
   

   View Slide

9. フレームワークを使っていても
   脆弱性が入り込んでしまうポイント
   フレームワークやライブラリの選定ミス
   設定ミス
   フレームワークの思想を無視した実装
   フレームワークではどうしようもないところ
   のカバー漏れ
   

   View Slide

10. フレームワークや
    ライブラリの選定ミス
    

    View Slide

11. どうやって選ぶか
    RubyにおけるRailsのような、言語における「鉄板」があるなら従う
    使用者数が少ないフレームワークは自信を持って選べるようになっ
    てからで十分
    Google検索などで評判を調べてみる
    少なくとも開発コミュニティが活発であること
    GitHubのstar数
    中心になって開発している人がどんな人なのか
    一万歩譲ってもセキュリティ対応期間中のもの、可能な限りリリース
    済みの新しいバージョンを使う
    

    View Slide

12. 評判の信ぴょう性を判断するには
    結局自分が知識を持つしかない
    

    View Slide

13. とは言え、フレームワーク名で検索してサジェスト
    上位に「脆弱性」って出てくるものは避けましょう
    フレームワークの名誉のため、モザイク処理済
    

    View Slide

14. 設定ミス
    

    View Slide

15. デフォルト設定が安全側に倒れていないケース
    設定変更のリスク判断が十分に出来ていないケー
    ス
    設定の組み合わせによって問題が起きるケー
    ス
    

    View Slide

16. デフォルト設定が
    安全側に倒れていないケース
    例: FuelPHP(1.8のmasterで確認)のデフォル
    ト設定ではCSRFトークンのチェックをしてお
    らず、オプション機能扱いになっている
    放っておいた場合何が起こるかは「はまち
    ちゃん事件」で検索
    このときは勝手に日記を投稿されるだけで
    済んだから良かった(!?)ものの、勝手に商品
    を購入させるようなことになってたら……
    

    View Slide

17. 設定変更のリスク判断が
    十分にできていないケース
    DBなどに登録したHTMLをそのまま書き出した
    い、という要件
    書き出す箇所だけエスケープを外すべきと
    ころ、全体のエスケープ設定を外してしま
    う
    

    View Slide

18. フレームワークの思想を
    無視した実装
    

    View Slide

19. 安全に実装する方法が分からない
    「自分がやりたいことはフレームワークでサ
    ポートされていない」と思い込み、フレーム
    ワークを使わない実装を始めてしまう
    

    View Slide

20. 安全に実装する方法が
    分からない
    是非が判断できないため、Google検索で見つ
    けた問題のある実装方法でそのまま済ませてし
    まう
    そもそも公式ドキュメントを読まない
    読み慣れないと望む情報にたどり着くのが
    大変なのはとてもよくわかる、が、読もう！
    

    View Slide

21. 「やりたいことがフレームワーク
    でサポートされていない」という
    思い込み
    経験の浅いエンジニアにありがち
    フォームデータの多次元配列データに対応していないと思い
    込み(というかそもそもそういう概念を知らず)、自前でPOST
    パラメータを読み出す処理を作り込んでしまった
    フレームワークのバリデーション機能でフォローできな
    くなるので、入力の検証が地獄になる
    参考元のコードに求めているパターンの実装がなく、上長に
    相談しても「もっとよく見て」と適当にあしらわれる(血涙)
    というわけで先輩方はどうかサポートしてあげてください
    

    View Slide

22. ここまでは、
    ちゃんと「レールに乗って」いれば
    回避できる話
    

    View Slide

23. フレームワークでは
    どうしようもないところの
    カバー漏れ
    

    View Slide

24. アクセスログを取ろうとして、リクエストパ
    ラメータに含まれていた平文のパスワードも
    そのままログに書き出してしまう
    独自のバリデーションルールを作ろうとして、
    正規表現をミスする
    そして問題のある入力を受け付けてしまう
    

    View Slide

25. 余談:パスワードを平文で
    保存してはいけない理由？
    

    View Slide

26. フレームワークなしでもそこそこセキュアに
    組めるくらいの理解はないと正直厳しいと思っている
    結局ここに戻ってくる
    冨樫義博「幽☆遊☆白書 14巻」(集英社、1993年)
    

    View Slide

27. 最低リードエンジニアくらいは、
    とは思うのですが
    

    View Slide

28. できれば、みんなで勉強して頑張ろう
    把握してるごく少人数で全部カバーとか死んじゃいます
    

    View Slide

29. みんな読もう、徳丸本
    正式なタイトルは「体系的に学ぶ 安全なWebアプリケーションの作り方」
    第二版がおすすめ
    

    View Slide

30. 正しくレールに乗って
    ご安全に！
    

    View Slide