エンジニアのためのセキュリティ攻略：共有＆学習シリーズ - 情報漏洩

「不用意な発言は身を滅ぼす」という言葉は、第二次世界大戦中の米国で流行しました。英国では「不用意な会話が命取りになる」と言われていました。この格言の要点は、機密情報について不用意に話すとスパイに聞き漏らされ、深刻な結果を招く可能性があるというものです。

この原則は、Webアプリケーションを構築する際にも当てはまります。Webアプリが過剰な情報を公開してしまうと、攻撃者が侵入しやすくなるのです。

本記事では、情報漏洩とは何か、なぜ危険なのか、そしてどのように防ぐべきかについて解説します。

情報漏洩を理解する

情報漏洩とは、Webアプリケーションが本来公開すべきでない内部情報をさらしてしまうことを指します。また、ログファイルやユーザーインターフェースを通じて顧客の機密情報が漏洩することも含まれます。いずれの場合も、攻撃者は見つけた情報を利用して、システムやユーザーを攻撃します。

攻撃者の最初のステップは、アプリケーション内でエラーを発生させることであることがよくあります。不適切なエラーハンドリングやWebアプリケーションの設定は、エラーメッセージによる情報漏洩につながります。攻撃者がアプリケーション内でエラーを発生させるとどうなるでしょうか？スタックトレースなどの技術的な詳細を含むエラーメッセージが表示された場合、それは情報を出しすぎている証拠です。こうした詳細情報から、使用しているデータベースやアプリケーションサーバーのバージョンなどが特定されてしまいます。

機密情報の漏洩は、他の方法でも発生します。フォーム内に機密情報を保持する隠しフィールドはありませんか？攻撃者はページのソースを表示するだけで、その値を確認できてしまいます。

要するに、情報漏洩とは、本来ユーザーが必要な範囲でしか知るべきでない情報が、あまりにも簡単にアクセスできる状態になっていることを指します。

情報漏洩がなぜ危険なのかを理解する

アプリケーションによって公開された情報を、攻撃者はどのように利用するのでしょうか？その情報が機密性の高いものであれば、なりすましやユーザーの認証情報の窃取につながる恐れがあります。これは、経済的損失、プライバシー侵害、規制当局による罰金などを引き起こす可能性があります。

攻撃者がエラーメッセージを利用してアプリケーションに関する情報を収集した場合、その情報は将来の攻撃に利用される可能性があります。実際、OWASP Testing Guideには、情報収集に関するセクションが丸ごと設けられています。

OWASP Testing Guideでは、検索エンジンを使用して、意図しないWebサイトの情報が公開されていないか確認することを推奨しています。例えば、管理ページが検索エンジンに公開されていませんか？robots.txtファイルを使用して、特定のページをインデックスしないよう検索エンジンに指示しましょう。ただし、robots.txtファイル自体が情報を漏洩させる可能性もあります。機密性の高いURLがrobots.txtに記載されていることがあるからです。攻撃者はこのファイルをダウンロードし、サイトのディレクトリ構造を把握し始めます。

Googleには、Webサイトを詳細に調査できる高度な検索オプションがあります。例えば、「site: <ドメイン名>」という構文を使用して特定のサイトを検索できます。また、削除されたはずのページが以前のインデックス作業のキャッシュに残っている場合、それを閲覧することも可能です。BingやDuckDuckGoなど、異なる検索エンジンを使用すると異なる結果が得られることがあるため、各検索エンジンで自分のWebアプリケーションがどのように公開されているかを確認してください。

HTTPヘッダー、Webサイトのバナー、さらにはHTMLやJavaScriptコード内のコメントにも、攻撃者に見られるべきではない情報が含まれている可能性があります。HTTPヘッダーは、アプリケーションサーバーやバージョン番号を明らかにする場合があります。攻撃者はこの情報を利用して、特定のバージョンに対する脆弱性を探します。攻撃者が情報を発見できるあらゆる場所を把握し、適切に隠蔽するようにしてください。

情報漏洩を防ぐ

情報漏洩は、Webアプリケーションの設定ミスが原因であることがよくあります。多くのアプリケーションサーバーは、デフォルトでエラーメッセージにスタックトレースを表示します。本番環境のアプリケーションでは、この設定を変更し、トラブルシューティング用にエラーをログに記録しつつ、ユーザーには汎用的なエラーページを表示するようにしてください。詳細なエラーメッセージをユーザーのブラウザに返してはいけません。

アプリケーションに必要なファイルに機密情報が含まれている場合は、適切なアクセス制御を行い、アプリケーション自体のみが読み取れるようにしてください。サーバーのディレクトリリスティングを無効にし、これらのファイルをWebルートディレクトリの外に移動させます。これにより、攻撃者がディレクトリトラバーサル攻撃を使用してブラウザからファイルにアクセスするのを防ぐことができます。

ログの設定が不適切な場合、情報収集に悪用される恐れがあります。エラー発生時にパスワード、セッショントークン、個人情報（PII）などの機密情報をログに出力しないでください。攻撃者がログファイルにアクセスできた場合、そこから機密情報が盗み出される危険があります。ログには、アカウント識別子、詳細なエラーメッセージ、エラーが発生したメソッドや操作内容など、必要最小限の情報のみを記録するようにしてください。ログファイルは誰でも見られるものだという前提で運用すれば、機密情報を不用意に含めることはなくなるはずです。

Webアプリを危機にさらさないために

友人との何気ない会話から情報が漏洩し、第二次世界大戦で戦艦が沈没する事態を招く――そんなことが本当にあり得るのでしょうか。可能性は低いかもしれません。しかし、あえてリスクを冒す必要はあるでしょうか。「不用意な発言は船を沈める（Loose lips sink ships）」という格言には、まさにその教訓が込められています。

同様に、Webアプリケーションの内部構造を外部にさらす理由もありません。クレジットカード番号やパスワードをそのまま表示したり、ログファイルに個人情報を含めたりすることは避けるべきです。決して行わないでください。学習リソースで、情報漏洩についてさらに詳しく学びましょう。

アプリケーションの内部情報は、しかるべき場所に留めておきましょう。Webアプリを危機にさらしてはいけません。

今すぐ情報漏洩を食い止める準備はできていますか？さあ、挑戦の時です： [ここから開始]