上記のいずれの攻撃を受けても、セッションをハイジャックされてしまうとシステムに大きな影響を与えてしまいます。安全かつ強固なシステムを構築するためにもしっかりとした対策が必要になります。 今回は、セッションハイジャックの話をしてみたいと思います。 ブラウザとWebサイト（Webサーバ）は、HTTPという手段を使ってやりとりをします。 そして、HTTPというプロトコル（通信手段）は、「ステートレス」という特徴を持っています。 どういうことかというと、ブラウザがHTTPで何かをダウンロードするときには、「GET」コマンドというものを使います。 例えば、「index.html」というWebページと「index2.html」というページを取得する場合には、以下のように接続します。 1. クライアントがWebサーバに対して「index.html」ファイルを要求 『GET /index.html HTTP/1.0』 2. Webサーバがクライアントに、「index.html」を渡す 3. クライアントがWebサーバに対して「index2.html」ファイルを要求 『GET /index2.html HTTP/1.0』 4. Webサーバがクライアントに、index2.htmlを渡す このような形で、欲しいページやファイルがあった場合には、一回ずつGETコマンドというものを使って、Webサーバに要求します。 だから、上記の1と3は関連性がありません。なのでWebサーバに取っては、1がクライアントＡで、2がクライアントＢでも、わからないんです。 これが「ステートレス」、つまり「状態を覚えていない」という意味です。 では、会員制のサイトなどで、ユーザ名やパスワードを使ってログインする場合を考えてみると。 あれって、ログインした時の通信と、その次にページを見るときの通信が同じユーザだとわかってるはずですよね？
1)TCPセッションハイジャック TCPではコネクション確立時に互いにシーケンス番号を交換し、コネクション確立後は発信者がデータを送る際にシーケンスを加算して通信を行うことで信頼性を高めている。この仕組みを利用して矛盾なくシーケンス番号を操作して成り済まし通信を行う行為をTCPセッションハイジャックである。 2)UDPセッションハイジャック UDPはコネクション確立手順がないため、クライアントからのリクエストに対して、正規サーバよりも先にレスポンスを返すことでセッションハイジャックを行う。
HTTPは、一つ一つセッション単位で完結するため、連続的なやり取りや状態を管理することはできない。そのためWEBアプリケーション側で各セッションを管理するための識別情報（セッションID）を生成し、URLやクッキーにセットしてクライアントとやりとりを行います。 侵入者は、URL、クッキー、hiddenフィールドにセットされたセッション管理情報を推測や盗聴するなどして取得し正規ユーザに成り済ましてWEBサーバとのセッションハイジャックを行います。 以下にWEBセッションハイジャックの一つである、セッションフィクセイションを紹介します。 セッションフィクセイションは、セッションIDを含むURLをメールなどで送りつけ、ユーザに意図的にセッションを確立させハイジャックを行うという手法をとります。 よくスパムメールにURLが書かれたメールを見かけますが、クリックするとセッションをハイジャックされる可能性があります、注意が必要です。 セッションフィクセイションの攻撃パターン �．拭璽殴奪箸箸覆�WEBサイトでセッションIDを入手 ↓ ��入手したセッションIDを含むURLをリンク先としてフィッシングメールをユーザへ送付 ↓ ��ユーザがリンクをクリックすると、不正セッションIDを使ってターゲットサイトにログイン ↓ �ぅ拭璽殴奪肇汽ぅ箸農亀�ユーザになりすまし、不正な操作を行う 上記のいずれの攻撃を受けても、セッションをハイジャックされてしまうとシステムに大きな影響を与えてしまいます。安全かつ強固なシステムを構築するためにもしっかりとした対策が必要になります。
|
||||
- >
- コンピュータとインターネット
- >
- インターネット
- >
- ネットサービス
