Webサイトのセキュリティ

F社は，日用雑貨を製造・販売する中堅企業である。このたび，販路拡大を目的として自社製品を販売するWebサイト（以下，本システムという）を新規に開発した。本システムは，D社クラウドサービス上に構築しており，Webサーバとデータベース（以下，DBという）サーバから成り，D社クラウドサービスが提供するファイアウォール（以下，FWという）及びWebアプリケーションファイアウォール（以下，WAFという）を経由してインターネットからアクセスされる予定である。

本システムの開発環境のネットワーク構成（抜粋）を図1に示す。なお，本システムはリリース前であり，F社開発環境の特定のIPアドレスからだけアクセスできるようにFWで制限している。

クリックで拡大

図1　本システムの開発環境のネットワーク構成（抜粋）

本システムの主な仕様を次に示す。

F社情報セキュリティ部のG部長は，本システムのリリース前にペネトレーションテストを実施することを決定し，H主任をリーダーに任命した。H主任は，セキュリティベンダーであるU社に本システムのペネトレーションテストの実施を依頼した。ペネトレーションテストは，U社内のPCからインターネット，FW及びWAFを経由して本システムにアクセスする経路で実施した。

ペネトレーションテスト期間中は，FW及びWAFに対して次の変更を行った。

〔ペネトレーションテストの結果〕

ペネトレーションテストの結果，次の手順（以下，本シナリオという）で会員のパスワードが推測されて，不正にアクセスされてしまうことが確認された。

稼働中のシステムのログインフォームに対してパスワードを総当たりで試行するa攻撃では，システム側で試行回数に制限を設けて対策することができるが，レインボーテーブル攻撃ではそれができない。

H主任は，本システムの修正方針を整理するために，SQLインジェクション攻撃及びレインボーテーブル攻撃への対策を検討することにした。なお，ペネトレーションテスト期間中にWAFでSQLインジェクション攻撃が検知できていたが，^③仮に対策の一つが破られても他の対策で攻撃を防ぐという考え方に基づき，攻撃への対策をWAFだけに頼らず本システム自体でも行うことにした。

〔SQLインジェクション攻撃への対策の検討〕

本システムのソースコードを調査したところ，一部の処理で外部からの入力値をそのままSQL文に埋め込んでいる箇所が存在していた。そこで，対策として，bを利用する方式を採用することにした。この方式では，外部からの入力値が埋め込まれる箇所を専用の記号に置き換えたSQL文の雛形をあらかじめ作成しておき，専用の記号で置き換えた箇所にDB管理システム側で外部からの入力値を割り当てる。

〔レインボーテーブル攻撃への対策の検討〕

本システムでは会員のパスワードをハッシュ化して保存しているが，パスワードそのものにハッシュ関数を1回適用しただけであったので，レインボーテーブル攻撃に対して脆弱であった。そこで，パスワードをハッシュ化する際に，次の三つの処理を組み合わせて実施することにした。

さらに，ハッシュ化処理の変更に加えて，会員が設定可能なパスワード長を10字以上64字以下に変更した。本システムにおいて，パスワード長が10字の場合，6字の場合と比べてパスワードとして使用可能な文字列のパターン数がc倍になるのでレインボーテーブル攻撃がより困難になる。

H主任は，これらの対策を取りまとめてG部長に報告し，承認された。