Q&A
回答ありがとうございます。
多くのWebサービスにあるような、IDとパスワードでログインすることで、誰がどのWebページを作成したかを判断するようなものを考えていましたが、個人で作るということで、確実に、作成者かどうかを判断することは難しそうです。中途半端な対策では無意味だと思うので、企画自体を大きく見直したいと思います。
質問のタイトルがわかりづらくてすみません。
現在、登録したユーザーが、自分しか見ることのできない、HTMLを使って自由にメモを書くことができるWebサービスを作ろうと考えています。
このWebサービスにユーザー登録すると、HTMLを使って自由にWebページを作ることができます。このWebページは、作成者本人しか、閲覧・編集することができません。
ここで質問ですが、このような場合、何かセキュリティー上、問題が生じるでしょうか？
第三者は、作成されたWebページにアクセスできないため、攻撃者が悪意のあるJavaScriptのコードを書いても、被害に遭う(?)のは攻撃者本人のみだと思います。もしかして、攻撃者が悪意のあるWebページを作成し、攻撃者のセッションIDを、何らかの方法で被害者のブラウザーにセットし、本来は作成者しか見ることのできないWebページに被害者を誘導することによって、被害者の端末を攻撃するのでしょうか。だとしても、この場合、このWebサービスのセッションIDの管理方法に問題があるような気がします。
今回のケースでも、やはり、HTML Purifierのようなライブラリを使って、HTMLを無害化したりといった対策が必要となるのでしょうか？よろしくお願いします。
回答6件
0
例えば、
- Webアプリケーション自体に攻撃者の自分のページ内に他者の作成したページ情報を読み出せるような何らかの脆弱性が含まれている
場合、その他者のページ内に書かれている事項が抜き出せることになり、かつその状況が生まれていることに攻撃者以外気付けない、という状況が発生します。
そのため、主たる問題はHTMLがどうという事より、そのHTML編集画面に任意のコードが書き込めることがWebアプリケーション側の動作の脆弱性（例えばSQLインジェクション等）をつくことに繋がらないかが問題になります。
セキュリティについて考える際に重要なのは、「考えたとおりに作られていれば、問題ない」はずのことが「実はそのとおりに動いていない」ことを想定することです。
投稿2016/04/14 13:32
総合スコア2037
0
さらっと書かれていますが
このWebページは、作成者本人しか、閲覧・編集することができません
これをどう保証し、どう担保するのか？ということが問題です
投稿2016/04/14 19:33
総合スコア3939
0
今回のケースでも、やはり、HTML Purifierのようなライブラリを使って、HTMLを無害化したりといった対策が必要となるのでしょうか？
と言う一文から、通常のサイト制作よりもセキュリティ対策のレベルを下げても問題ないか？と読み取れますが、決してそんなことはありません。
CSRFの脆弱性があれば意図しないコードを書き込まれますし、XSSの脆弱性があればそのコードが実行されてプライベートな情報を他者に転送されてしまうかもしれません。
私は、セキュリティについて考える際に重要なのは、
「想定外の操作や状態では動作しないor停止する」ことだと思います。
投稿2016/04/14 23:40
総合スコア324
回答ありがとうございます。
セキュリティーの対策は、こういう制限があるから、別にこういう対策はしなくていいよね、といったことは確かにするべきではないかもしれないですね。
自由にコンテンツを書き込まれてしまうと、作成者だけがアクセスできるようにしたとしても、開発者が全く意図しなかった悪意のある使い方がされる危険があるので、やはり、コンテンツの無害化も対策に含めようと思います。
0
アクセスする方がキャッシュするプロキシなどを使った場合、攻撃者のWebページがキャッシュされて表示されてしまう可能性はあります。
ユーザー毎にURLは変えた方がいいと思います。
投稿2016/06/18 05:57
総合スコア40
0
そのサービスに正規に登録した悪意のユーザーが、そのサービスの機能を用いてそのサービスの別ユーザーを攻撃できるか、ということですね。この場合、認証やアクセス制御が正常に機能しているのであれば、攻撃者が入力したコンテンツを用いて第三者を攻撃するのは難しそうです。
ただし、「CSRF脆弱性の利用やソーシャルハッキングを用いて攻撃対象者の権限により悪意あるコンテンツを書き込む」という攻撃が考えられます(攻撃者が同サービスの利用者かは無関係)。この場合、セッションハイジャック、コンテンツやユーザー登録情報の改竄や詐取、ドライブバイダウンロードによる端末へのマルウェア注入、などが起きえます。
また、前提の部分についても認証やアクセス制御の不備により他者のコンテンツが表示できる経路があったりすると同様のリスクがあります。
結論としてはコンテンツの無害化はやっておいた方がいいでしょう。
投稿2016/04/15 01:57
総合スコア1449
回答ありがとうございます。
作成者本人しかアクセスできないようにすれば、どのようなコンテンツを書き込まれてもセキュリティー上問題ないと考えておりましたが、セキュリティーについて考えることは簡単なことではないですね。やはり、コンテンツの無害化をする方針にしたいと思います。
0
あなたが想定していないケースとして、具体的に上げるとすれば、登録ユーザを複数で使い回すケースがありそうです。
この場合、作者≠登録ユーザとなるケースがあるため、悪意あるコードを実害とさせることは十分可能です。
全行動パターンが洗い出せない以上、セキュリティ対策は必要だと思いますよ。
投稿2016/04/14 23:41
退会済みユーザー
総合スコア0
回答ありがとうございます。
登録ユーザを複数で使い回すケース、ですか。なるほど、開発者側では思ってもいない、考えられないことを利用者はするかもしれない、と常に思っておくことは重要ですね。
あなたの回答
tips
プレビュー
バッドをするには、ログインかつ
こちらの条件を満たす必要があります。
2016/04/14 16:05