エンジニアのためのセキュリティ攻略：共有＆学習シリーズ - ビジネスロジックの脆弱性

本シリーズでこれまで取り上げてきた他の脆弱性とは異なり、ビジネスロジックの問題はコーディングの誤りに直接起因するものではありません。コーディング上の問題も一因となり得ますが、ビジネスロジックのエラーは、多くの場合、アプリケーションの設計段階における欠陥や論理的な前提の誤りから生じます。

ビジネスロジックの問題は、ユーザーがアプリケーションの使用中に想定外の操作を行った場合に発生する可能性があります。注文の予期せぬキャンセル、クーポンコードの過剰な適用、あるいは単に期待される手順をスキップしてアプリケーションが処理方法を知らない操作を行うなど、その内容は多岐にわたります。ビジネスロジックの欠陥を突くために特別な訓練は必要ありません。必要なのは、悪意を持ち、既成概念にとらわれずに考える好奇心旺盛なユーザーの存在だけです。

本エピソードでは、以下の内容を学びます。

• 攻撃者はどのようにビジネスロジックの欠陥を突くのか
• ビジネスロジックに欠陥があるアプリケーションが危険な理由
• ビジネスロジックエラーを防ぐための手法

攻撃者はどのようにビジネスロジックの問題を悪用するのか？

多くのエクスプロイトとは異なり、この脆弱性を引き起こす特定のコード文字列を特定することはできません。その原因は、ユーザーが想定外の操作を行い、プログラムがその処理方法を理解していないことにあります。例えば、銀行のアプリケーションで、ユーザーが他の口座へ送金できる機能を考えてみましょう。ここで悪意のあるユーザーが、送金ではなく「マイナスの金額」を送金しようとしたらどうなるでしょうか。アプリケーションはクラッシュするでしょうか？それとも送金を拒否するでしょうか？あるいは、マイナスの数値を相殺するために、送金元へ逆に送金してしまう可能性はないでしょうか？

Eコマースサイトは、多くのユーザーが利用し、複雑なコンポーネントで構成されているため、ビジネスロジックの欠陥に対して特に脆弱です。注文の予期せぬキャンセル、単一クーポンの複数回適用、ショッピングカートへの過剰な追加などは、アプリケーションにとって想定外の状況を生み出します。未知の状況に直面したとき、プログラムがどのように反応するかを予測することは困難です。最良のシナリオはエラーメッセージを表示することですが、商品が無料で提供されてしまうといった、より深刻な事態を招かないという保証はどこにもありません。

ビジネスロジックの問題が危険な理由とは？

ビジネスロジックの問題が極めて危険なのは、プログラミングやハッキングの知識がない人でも悪用できてしまうからです。必要なのは、試行錯誤を繰り返す時間と、アプリケーションの設計上の反応を確かめようとする好奇心だけです。一度サイトのビジネスロジックに欠陥があることが知れ渡れば、悪意のあるユーザーはそれを最大限に悪用しようとするでしょう。

最大の危険は通常、金銭的な損失です。例えば、代金を支払わずに大型テレビを20台購入されるといったケースが考えられます。しかし、ビジネスロジックの欠陥は他の問題も引き起こします。例えば、サイトを保護するパスワード機能が、ユーザーがキャンセルボタンを連打した場合の処理を想定していなければ、ログインプロセスを完全にバイパスされてしまう可能性があります。

ビジネスロジックの問題がどれほどの損害をもたらすかを予測することは不可能です。多くの場合、問題が発覚するのは、ユーザーによって悪用された後、長い時間が経過してからです。

ビジネスロジックの問題を修正する

残念ながら、脆弱性スキャナーのような一般的なツールでは、ビジネスロジックの問題を特定したり修正したりすることはできません。ビジネスロジックのテストは自動化が困難だからです。これを防ぐ最善の方法は、アプリケーションの開発段階で、適切な計画、エラーハンドリング、そしてネガティブテストを実施することです。そのためにはまず、アプリケーションが実行すべきすべての可能な操作と、あるべき姿を網羅した明確なビジネスルールを定義する必要があります。

ビジネスルールの計画を立てた上で、ビジネスロジックの欠陥を防ぐ最良の方法の一つは、アプリケーション内でのデータとトランザクションのあらゆる流れを示すフローチャートを作成することです。これには、ユーザーが選択やデータ入力を行うすべての場面における挙動のモデル化が含まれます。フロー図上の可能なアクションが、ビジネスルール計画の機能と一致しているかを常に確認してください。

最後に、設計、実装、テストの各フェーズで脅威モデリングを活用し、ビジネスロジックの欠陥を特定しましょう。フェイルセーフとして、想定外の状況に遭遇した際にプログラムがとるべきアクションを定義してください。これは、操作を拒否し、管理者に問題を通知するといったシンプルなもので構いません。

ビジネスロジックの問題に関する詳細情報

詳細については、OWASPのビジネスロジックの問題に関するページをご覧ください。また、学んだ防御知識を試すために、サイバーセキュリティチームを究極のサイバー戦士へと育成するSecure Code Warriorプラットフォームの無料デモをお試しください。この脆弱性やその他の脅威を克服する方法については、Secure Code Warriorブログをご覧ください。

今すぐビジネスロジックの脆弱性を特定し、排除する準備はできましたか？プラットフォームにアクセスして、スキルを試してみましょう： [こちらから開始]