質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう!

ただいまの
回答率

90.47%

  • Webサイト

    1099questions

    一つのドメイン上に存在するWebページの集合体をWebサイトと呼びます。

  • セキュリティー

    472questions

    このタグは、コンピューターシステムの安全性やデータの機密性に関連したトピックの為に使われます。

  • XSS

    30questions

    XSS【クロスサイトスクリプティング】は、 ソフトウェアのセキュリティホールの一つで、Webサイトに脆弱性が あることからその脆弱性を利用し攻撃する手法です。 主に、入力フォームなどから悪意あるスクリプトを挿入し 該当ページを閲覧したブラウザ上でそのスクリプトを実行します。

作成者しかアクセスできないWebページにおける脆弱性の対策方法についての質問

受付中

回答 6

投稿

  • 評価
  • クリップ 3
  • VIEW 906

SofPyon

score 66

質問のタイトルがわかりづらくてすみません。

現在、登録したユーザーが、自分しか見ることのできない、HTMLを使って自由にメモを書くことができるWebサービスを作ろうと考えています。

このWebサービスにユーザー登録すると、HTMLを使って自由にWebページを作ることができます。このWebページは、作成者本人しか、閲覧・編集することができません。

ここで質問ですが、このような場合、何かセキュリティー上、問題が生じるでしょうか?

第三者は、作成されたWebページにアクセスできないため、攻撃者が悪意のあるJavaScriptのコードを書いても、被害に遭う(?)のは攻撃者本人のみだと思います。もしかして、攻撃者が悪意のあるWebページを作成し、攻撃者のセッションIDを、何らかの方法で被害者のブラウザーにセットし、本来は作成者しか見ることのできないWebページに被害者を誘導することによって、被害者の端末を攻撃するのでしょうか。だとしても、この場合、このWebサービスのセッションIDの管理方法に問題があるような気がします。

今回のケースでも、やはり、HTML Purifierのようなライブラリを使って、HTMLを無害化したりといった対策が必要となるのでしょうか?よろしくお願いします。

  • 気になる質問をクリップする

    クリップした質問は、後からいつでもマイページで確認できます。

    またクリップした質問に回答があった際、通知やメールを受け取ることができます。

    クリップを取り消します

  • 良い質問の評価を上げる

    以下のような質問は評価を上げましょう

    • 質問内容が明確
    • 自分も答えを知りたい
    • 質問者以外のユーザにも役立つ

    評価が高い質問は、TOPページの「注目」タブのフィードに表示されやすくなります。

    質問の評価を上げたことを取り消します

  • 評価を下げられる数の上限に達しました

    評価を下げることができません

    • 1日5回まで評価を下げられます
    • 1日に1ユーザに対して2回まで評価を下げられます

    質問の評価を下げる

    teratailでは下記のような質問を「具体的に困っていることがない質問」、「サイトポリシーに違反する質問」と定義し、推奨していません。

    • プログラミングに関係のない質問
    • やってほしいことだけを記載した丸投げの質問
    • 問題・課題が含まれていない質問
    • 意図的に内容が抹消された質問
    • 広告と受け取られるような投稿

    評価が下がると、TOPページの「アクティブ」「注目」タブのフィードに表示されにくくなります。

    質問の評価を下げたことを取り消します

    この機能は開放されていません

    評価を下げる条件を満たしてません

    評価を下げる理由を選択してください

    詳細な説明はこちら

    上記に当てはまらず、質問内容が明確になっていない質問には「情報の追加・修正依頼」機能からコメントをしてください。

    質問の評価を下げる機能の利用条件

    この機能を利用するためには、以下の事項を行う必要があります。

回答 6

+3

例えば、

  • Webアプリケーション自体に攻撃者の自分のページ内に他者の作成したページ情報を読み出せるような何らかの脆弱性が含まれている

場合、その他者のページ内に書かれている事項が抜き出せることになり、かつその状況が生まれていることに攻撃者以外気付けない、という状況が発生します。

そのため、主たる問題はHTMLがどうという事より、そのHTML編集画面に任意のコードが書き込めることがWebアプリケーション側の動作の脆弱性(例えばSQLインジェクション等)をつくことに繋がらないかが問題になります。

セキュリティについて考える際に重要なのは、「考えたとおりに作られていれば、問題ない」はずのことが「実はそのとおりに動いていない」ことを想定することです。

投稿

  • 回答の評価を上げる

    以下のような回答は評価を上げましょう

    • 正しい回答
    • わかりやすい回答
    • ためになる回答

    評価が高い回答ほどページの上位に表示されます。

  • 回答の評価を下げる

    下記のような回答は推奨されていません。

    • 間違っている回答
    • 質問の回答になっていない投稿
    • スパムや攻撃的な表現を用いた投稿

    評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

  • 2016/04/15 01:05

    回答ありがとうございます。

    SQLインジェクション対策等、基本的な対策は必ず行っているので、その辺は問題ないと考えております。

    >セキュリティについて考える際に重要なのは、「考えたとおりに作られていれば、問題ない」はずのことが「実はそのとおりに動いていない」ことを想定することです。

    なるほど。これは勉強になりました。

    キャンセル

+1

さらっと書かれていますが

このWebページは、作成者本人しか、閲覧・編集することができません

これをどう保証し、どう担保するのか?ということが問題です

投稿

  • 回答の評価を上げる

    以下のような回答は評価を上げましょう

    • 正しい回答
    • わかりやすい回答
    • ためになる回答

    評価が高い回答ほどページの上位に表示されます。

  • 回答の評価を下げる

    下記のような回答は推奨されていません。

    • 間違っている回答
    • 質問の回答になっていない投稿
    • スパムや攻撃的な表現を用いた投稿

    評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

  • 2016/04/15 23:56

    回答ありがとうございます。

    多くのWebサービスにあるような、IDとパスワードでログインすることで、誰がどのWebページを作成したかを判断するようなものを考えていましたが、個人で作るということで、確実に、作成者かどうかを判断することは難しそうです。中途半端な対策では無意味だと思うので、企画自体を大きく見直したいと思います。

    キャンセル

+1

今回のケースでも、やはり、HTML Purifierのようなライブラリを使って、HTMLを無害化したりといった対策が必要となるのでしょうか?

と言う一文から、通常のサイト制作よりもセキュリティ対策のレベルを下げても問題ないか?と読み取れますが、決してそんなことはありません。
CSRFの脆弱性があれば意図しないコードを書き込まれますし、XSSの脆弱性があればそのコードが実行されてプライベートな情報を他者に転送されてしまうかもしれません。

私は、セキュリティについて考える際に重要なのは、
「想定外の操作や状態では動作しないor停止する」ことだと思います。

投稿

  • 回答の評価を上げる

    以下のような回答は評価を上げましょう

    • 正しい回答
    • わかりやすい回答
    • ためになる回答

    評価が高い回答ほどページの上位に表示されます。

  • 回答の評価を下げる

    下記のような回答は推奨されていません。

    • 間違っている回答
    • 質問の回答になっていない投稿
    • スパムや攻撃的な表現を用いた投稿

    評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

  • 2016/04/16 00:05

    回答ありがとうございます。

    セキュリティーの対策は、こういう制限があるから、別にこういう対策はしなくていいよね、といったことは確かにするべきではないかもしれないですね。

    自由にコンテンツを書き込まれてしまうと、作成者だけがアクセスできるようにしたとしても、開発者が全く意図しなかった悪意のある使い方がされる危険があるので、やはり、コンテンツの無害化も対策に含めようと思います。

    キャンセル

0

あなたが想定していないケースとして、具体的に上げるとすれば、登録ユーザを複数で使い回すケースがありそうです。
この場合、作者≠登録ユーザとなるケースがあるため、悪意あるコードを実害とさせることは十分可能です。
全行動パターンが洗い出せない以上、セキュリティ対策は必要だと思いますよ。

投稿

  • 回答の評価を上げる

    以下のような回答は評価を上げましょう

    • 正しい回答
    • わかりやすい回答
    • ためになる回答

    評価が高い回答ほどページの上位に表示されます。

  • 回答の評価を下げる

    下記のような回答は推奨されていません。

    • 間違っている回答
    • 質問の回答になっていない投稿
    • スパムや攻撃的な表現を用いた投稿

    評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

  • 2016/04/15 23:49

    回答ありがとうございます。

    登録ユーザを複数で使い回すケース、ですか。なるほど、開発者側では思ってもいない、考えられないことを利用者はするかもしれない、と常に思っておくことは重要ですね。

    キャンセル

0

そのサービスに正規に登録した悪意のユーザーが、そのサービスの機能を用いてそのサービスの別ユーザーを攻撃できるか、ということですね。この場合、認証やアクセス制御が正常に機能しているのであれば、攻撃者が入力したコンテンツを用いて第三者を攻撃するのは難しそうです。

ただし、「CSRF脆弱性の利用やソーシャルハッキングを用いて攻撃対象者の権限により悪意あるコンテンツを書き込む」という攻撃が考えられます(攻撃者が同サービスの利用者かは無関係)。この場合、セッションハイジャック、コンテンツやユーザー登録情報の改竄や詐取、ドライブバイダウンロードによる端末へのマルウェア注入、などが起きえます。

また、前提の部分についても認証やアクセス制御の不備により他者のコンテンツが表示できる経路があったりすると同様のリスクがあります。

結論としてはコンテンツの無害化はやっておいた方がいいでしょう。

投稿

  • 回答の評価を上げる

    以下のような回答は評価を上げましょう

    • 正しい回答
    • わかりやすい回答
    • ためになる回答

    評価が高い回答ほどページの上位に表示されます。

  • 回答の評価を下げる

    下記のような回答は推奨されていません。

    • 間違っている回答
    • 質問の回答になっていない投稿
    • スパムや攻撃的な表現を用いた投稿

    評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

  • 2016/04/16 00:01

    回答ありがとうございます。

    作成者本人しかアクセスできないようにすれば、どのようなコンテンツを書き込まれてもセキュリティー上問題ないと考えておりましたが、セキュリティーについて考えることは簡単なことではないですね。やはり、コンテンツの無害化をする方針にしたいと思います。

    キャンセル

0

アクセスする方がキャッシュするプロキシなどを使った場合、攻撃者のWebページがキャッシュされて表示されてしまう可能性はあります。
ユーザー毎にURLは変えた方がいいと思います。

投稿

  • 回答の評価を上げる

    以下のような回答は評価を上げましょう

    • 正しい回答
    • わかりやすい回答
    • ためになる回答

    評価が高い回答ほどページの上位に表示されます。

  • 回答の評価を下げる

    下記のような回答は推奨されていません。

    • 間違っている回答
    • 質問の回答になっていない投稿
    • スパムや攻撃的な表現を用いた投稿

    評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

15分調べてもわからないことは、teratailで質問しよう!

  • ただいまの回答率 90.47%
  • 質問をまとめることで、思考を整理して素早く解決
  • テンプレート機能で、簡単に質問をまとめられる

関連した質問

同じタグがついた質問を見る

  • Webサイト

    1099questions

    一つのドメイン上に存在するWebページの集合体をWebサイトと呼びます。

  • セキュリティー

    472questions

    このタグは、コンピューターシステムの安全性やデータの機密性に関連したトピックの為に使われます。

  • XSS

    30questions

    XSS【クロスサイトスクリプティング】は、 ソフトウェアのセキュリティホールの一つで、Webサイトに脆弱性が あることからその脆弱性を利用し攻撃する手法です。 主に、入力フォームなどから悪意あるスクリプトを挿入し 該当ページを閲覧したブラウザ上でそのスクリプトを実行します。