作成者しかアクセスできないWebページにおける脆弱性の対策方法についての質問
受付中
回答 6
投稿
- 評価
- クリップ 3
- VIEW 906
質問のタイトルがわかりづらくてすみません。
現在、登録したユーザーが、自分しか見ることのできない、HTMLを使って自由にメモを書くことができるWebサービスを作ろうと考えています。
このWebサービスにユーザー登録すると、HTMLを使って自由にWebページを作ることができます。このWebページは、作成者本人しか、閲覧・編集することができません。
ここで質問ですが、このような場合、何かセキュリティー上、問題が生じるでしょうか？
第三者は、作成されたWebページにアクセスできないため、攻撃者が悪意のあるJavaScriptのコードを書いても、被害に遭う(?)のは攻撃者本人のみだと思います。もしかして、攻撃者が悪意のあるWebページを作成し、攻撃者のセッションIDを、何らかの方法で被害者のブラウザーにセットし、本来は作成者しか見ることのできないWebページに被害者を誘導することによって、被害者の端末を攻撃するのでしょうか。だとしても、この場合、このWebサービスのセッションIDの管理方法に問題があるような気がします。
今回のケースでも、やはり、HTML Purifierのようなライブラリを使って、HTMLを無害化したりといった対策が必要となるのでしょうか？よろしくお願いします。
-
気になる質問をクリップする
クリップした質問は、後からいつでもマイページで確認できます。
またクリップした質問に回答があった際、通知やメールを受け取ることができます。
クリップを取り消します
-
良い質問の評価を上げる
以下のような質問は評価を上げましょう
- 質問内容が明確
- 自分も答えを知りたい
- 質問者以外のユーザにも役立つ
評価が高い質問は、TOPページの「注目」タブのフィードに表示されやすくなります。
質問の評価を上げたことを取り消します
-
評価を下げられる数の上限に達しました
評価を下げることができません
- 1日5回まで評価を下げられます
- 1日に1ユーザに対して2回まで評価を下げられます
質問の評価を下げる
teratailでは下記のような質問を「具体的に困っていることがない質問」、「サイトポリシーに違反する質問」と定義し、推奨していません。
- プログラミングに関係のない質問
- やってほしいことだけを記載した丸投げの質問
- 問題・課題が含まれていない質問
- 意図的に内容が抹消された質問
- 広告と受け取られるような投稿
評価が下がると、TOPページの「アクティブ」「注目」タブのフィードに表示されにくくなります。
質問の評価を下げたことを取り消します
この機能は開放されていません
評価を下げる条件を満たしてません
質問の評価を下げる機能の利用条件
この機能を利用するためには、以下の事項を行う必要があります。
- 質問回答など一定の行動
-
メールアドレスの認証
メールアドレスの認証
-
質問評価に関するヘルプページの閲覧
質問評価に関するヘルプページの閲覧
+3
例えば、
- Webアプリケーション自体に攻撃者の自分のページ内に他者の作成したページ情報を読み出せるような何らかの脆弱性が含まれている
場合、その他者のページ内に書かれている事項が抜き出せることになり、かつその状況が生まれていることに攻撃者以外気付けない、という状況が発生します。
そのため、主たる問題はHTMLがどうという事より、そのHTML編集画面に任意のコードが書き込めることがWebアプリケーション側の動作の脆弱性（例えばSQLインジェクション等）をつくことに繋がらないかが問題になります。
セキュリティについて考える際に重要なのは、「考えたとおりに作られていれば、問題ない」はずのことが「実はそのとおりに動いていない」ことを想定することです。
投稿
-
回答の評価を上げる
以下のような回答は評価を上げましょう
- 正しい回答
- わかりやすい回答
- ためになる回答
評価が高い回答ほどページの上位に表示されます。
-
回答の評価を下げる
下記のような回答は推奨されていません。
- 間違っている回答
- 質問の回答になっていない投稿
- スパムや攻撃的な表現を用いた投稿
評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。
+1
さらっと書かれていますが
このWebページは、作成者本人しか、閲覧・編集することができません
これをどう保証し、どう担保するのか？ということが問題です
投稿
-
回答の評価を上げる
以下のような回答は評価を上げましょう
- 正しい回答
- わかりやすい回答
- ためになる回答
評価が高い回答ほどページの上位に表示されます。
-
回答の評価を下げる
下記のような回答は推奨されていません。
- 間違っている回答
- 質問の回答になっていない投稿
- スパムや攻撃的な表現を用いた投稿
評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。
+1
今回のケースでも、やはり、HTML Purifierのようなライブラリを使って、HTMLを無害化したりといった対策が必要となるのでしょうか？
と言う一文から、通常のサイト制作よりもセキュリティ対策のレベルを下げても問題ないか？と読み取れますが、決してそんなことはありません。
CSRFの脆弱性があれば意図しないコードを書き込まれますし、XSSの脆弱性があればそのコードが実行されてプライベートな情報を他者に転送されてしまうかもしれません。
私は、セキュリティについて考える際に重要なのは、
「想定外の操作や状態では動作しないor停止する」ことだと思います。
投稿
-
回答の評価を上げる
以下のような回答は評価を上げましょう
- 正しい回答
- わかりやすい回答
- ためになる回答
評価が高い回答ほどページの上位に表示されます。
-
回答の評価を下げる
下記のような回答は推奨されていません。
- 間違っている回答
- 質問の回答になっていない投稿
- スパムや攻撃的な表現を用いた投稿
評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。
0
あなたが想定していないケースとして、具体的に上げるとすれば、登録ユーザを複数で使い回すケースがありそうです。
この場合、作者≠登録ユーザとなるケースがあるため、悪意あるコードを実害とさせることは十分可能です。
全行動パターンが洗い出せない以上、セキュリティ対策は必要だと思いますよ。
投稿
-
回答の評価を上げる
以下のような回答は評価を上げましょう
- 正しい回答
- わかりやすい回答
- ためになる回答
評価が高い回答ほどページの上位に表示されます。
-
回答の評価を下げる
下記のような回答は推奨されていません。
- 間違っている回答
- 質問の回答になっていない投稿
- スパムや攻撃的な表現を用いた投稿
評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。
0
そのサービスに正規に登録した悪意のユーザーが、そのサービスの機能を用いてそのサービスの別ユーザーを攻撃できるか、ということですね。この場合、認証やアクセス制御が正常に機能しているのであれば、攻撃者が入力したコンテンツを用いて第三者を攻撃するのは難しそうです。
ただし、「CSRF脆弱性の利用やソーシャルハッキングを用いて攻撃対象者の権限により悪意あるコンテンツを書き込む」という攻撃が考えられます(攻撃者が同サービスの利用者かは無関係)。この場合、セッションハイジャック、コンテンツやユーザー登録情報の改竄や詐取、ドライブバイダウンロードによる端末へのマルウェア注入、などが起きえます。
また、前提の部分についても認証やアクセス制御の不備により他者のコンテンツが表示できる経路があったりすると同様のリスクがあります。
結論としてはコンテンツの無害化はやっておいた方がいいでしょう。
投稿
-
回答の評価を上げる
以下のような回答は評価を上げましょう
- 正しい回答
- わかりやすい回答
- ためになる回答
評価が高い回答ほどページの上位に表示されます。
-
回答の評価を下げる
下記のような回答は推奨されていません。
- 間違っている回答
- 質問の回答になっていない投稿
- スパムや攻撃的な表現を用いた投稿
評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。
0
アクセスする方がキャッシュするプロキシなどを使った場合、攻撃者のWebページがキャッシュされて表示されてしまう可能性はあります。
ユーザー毎にURLは変えた方がいいと思います。
投稿
-
回答の評価を上げる
以下のような回答は評価を上げましょう
- 正しい回答
- わかりやすい回答
- ためになる回答
評価が高い回答ほどページの上位に表示されます。
-
回答の評価を下げる
下記のような回答は推奨されていません。
- 間違っている回答
- 質問の回答になっていない投稿
- スパムや攻撃的な表現を用いた投稿
評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。
15分調べてもわからないことは、teratailで質問しよう！
- ただいまの回答率 90.47%
- 質問をまとめることで、思考を整理して素早く解決
- テンプレート機能で、簡単に質問をまとめられる
2016/04/15 01:05
SQLインジェクション対策等、基本的な対策は必ず行っているので、その辺は問題ないと考えております。
>セキュリティについて考える際に重要なのは、「考えたとおりに作られていれば、問題ない」はずのことが「実はそのとおりに動いていない」ことを想定することです。
なるほど。これは勉強になりました。