コーダーのためのセキュリティ攻略：共有＆学習シリーズ - 不十分な自動化対策

昔の隠れ酒場やアンダーグラウンドなクラブの入り口を想像してみてください。ドアの小さなのぞき窓が開き、屈強な用心棒が合言葉を求めてきます。訪問者は合言葉を知らないため、適当に推測して答えます。間違っていれば、用心棒は中に入れてくれません。

通常であれば、そこで終わりです。しかし、間違ったパスワードを推測した訪問者がすぐに別のパスワードを試し、また拒否されたとします。さらにその訪問者が辞書を開き、「aardvark（ツチブタ）」から始めて、考えられるすべての単語を順番に試し始めたらどうなるでしょうか。

用心棒なら、そのような行為を許さないでしょう。しかし、自動化対策が不十分なWebサイトやアプリケーションでは、まさに同じことが起きています。ユーザーが自動化技術を駆使して、正しい合言葉にたどり着くまでパスワードの試行を繰り返すことを許してしまっているのです。

本エピソードでは、以下の内容を学びます。

• 攻撃者が不十分な自動化対策を悪用する仕組み
• 自動化対策が不十分なアプリケーションが危険な理由
• この脆弱性を修正するための技術

攻撃者はどのようにして不十分な自動化対策を悪用するのか？

先ほどの隠れ酒場の例のような、自動化や辞書攻撃の手法は、サイバーセキュリティの世界では決して新しいものではありません。実際、こうしたブルートフォース（総当たり）攻撃は、ハッカーが最初期から用いてきた手法の一つです。コンピュータの高速化に伴い、これらの攻撃はますます効率的になっています。攻撃側のコンピュータと標的システムの通信速度にもよりますが、高速なコンピュータであれば、辞書に載っているすべての単語をわずか数分で試すことが可能です。

こうした自動化攻撃に対抗するために、自動化対策ソフトウェアや技術が開発されました。これにより、アプリケーションはユーザーの操作が一般的な人間の行動の範囲内かどうかを判断できるようになります。

アプリケーションの自動化対策が不十分だと、攻撃者はパスワードが一致するまで推測を繰り返すことができます。あるいは、自動化ソフトウェアを使用して、Webフォーラムにスパムコメントを投稿するといった別の悪用を行う可能性もあります。

なぜ自動化対策の不備は危険なのか？

悪意のあるユーザーが自動化ツールを使ってセキュリティを回避することを許すのは危険です。自動化攻撃がコンピュータ黎明期から現在まで続いている理由は、その効果が非常に高いためです。パスワードの試行回数に制限がなく、間違えてもペナルティがない場合、自動化プログラムに十分な時間を与えれば、いずれは正しいパスワードにたどり着いてしまいます。

フォーラムなどで使用された場合、スクリプトによる大量のコメントが投稿されると、正規のユーザーが不快感を抱くだけでなく、システムリソースが浪費され、一種のサービス拒否（DoS）攻撃のような状態になることもあります。また、自動投稿はフィッシング詐欺などの攻撃ツールとして利用され、多くの人に罠を広めるために使われる可能性もあります。

不十分な自動化対策の問題を修正する

この問題を解決するには、すべてのアプリケーションに、実行されている操作が人間によるものか、自動化ソフトウェアによるものかを判別する機能を組み込む必要があります。最も一般的で広く利用されている技術の一つが、Completely Automated Public Turing test to tell Computers and Humans Apart、通称「CAPTCHA（キャプチャ）」です。

CAPTCHAは、1950年に計算機科学者のアラン・チューリングが提唱したチューリングテストを基にしたもので、人間とコンピュータの行動を分離・識別するものです。現代のCAPTCHAは、人間には簡単に解けても、コンピュータには解くのが難しい、あるいは全く理解できない問題を出題します。よくある例として、グリッド状に分割された写真の中から、花や顔など特定のアイテムが含まれるすべての区画を選択させるものがあります。コンピュータには何が求められているのか理解できず、画像をスキャンすることすらできません。仮にスキャンできたとしても、画像認識は、そのために特別に構築されたプログラムでない限り、非常に困難です。

その他のCAPTCHAの例としては、歪んだ文字の表示、簡単な論理クイズ、音声による問題の読み上げなどがあります。パスワード入力画面など、アプリケーションの重要なポイントにCAPTCHA認証を導入することで、自動化プログラムによる攻撃を確実に阻止できます。

また、同一ソースからの不正な推測回数を制限することで、自動化プログラムを停止させることも可能です。誤った推測が一定回数を超えた場合にアカウントを一時的にロックすれば、自動化プログラムの有用性を損なわせたり、管理者の手動解除を必要にしたりすることができます。こうした対策を講じることで、アプリケーションにおける自動化対策の脆弱性を防ぐことができます。

不十分な自動化対策に関する詳細情報

詳細については、OWASPによる不十分な自動化対策（Insufficient Anti-Automation）に関する解説をご覧ください。また、習得した防御知識は、サイバーセキュリティチームを最強のサイバー戦士へと育成するSecure Code Warriorプラットフォームの無料デモで試すことができます。この脆弱性やその他の脅威への対策について詳しくは、Secure Code Warriorブログをご覧ください。

不十分な自動化対策を今すぐ特定・修正してみませんか？ゲームアリーナでスキルを試しましょう： [こちらから開始]