0

セキュリティの件で質問なんですがCakePHP3.9で作ったwebサービスで脆弱性診断を受けてログインユーザーAのセッションIDを使ってログインユーザーBがログインユーザーAの権限で操作できてしまうという報告がありました。
他人のセッションIDを使えばその人になりすまして操作できるのは当たり前だと思うのですが、他人のセッションIDを使われても正しい権限の検証ができるようにするにはどうすればいいのでしょうか?
ログイン管理やアクセス管理はCakePHPのコンポーネントに任せています。

1
  • 1
    確認ですが、脆弱性診断の結果はnekketsuuuさんの回答で想定されている、「(セッションIDを盗める脆弱性があって)ログインユーザーBがログインユーザーAの権限で操作できてしまうという報告」があったという事で間違い無いでしょうか? (その場合、報告されたセッションIDが盗める脆弱性について可能な範囲で質問に追記すると、具体的な回答が得られやすいと思います)
    – mjy
    Commented 2023年7月7日 10:40

2 件の回答 2

2

おそらく「(セッション ID を盗める脆弱性があって)ログインユーザーBがログインユーザーAの権限で操作できてしまうという報告」のような報告だったのではないかと想定した回答です。

他人のセッションIDが使われると大変なので、セッションIDが盗まれにくくしたり、仮に盗まれても影響範囲が小さくなるようにする必要があります。たとえばIPAが出している「安全なウェブサイトの作り方」には大まかに以下のことが書かれています(2023年時点)。

  • セッションIDを推測が困難なものにする。
  • セッションIDをURLパラメータに格納しない。
  • HTTPS通信で利用するCookieにはsecure属性を加える。
  • ログイン成功後に、新しくセッションを開始する。
  • ログイン成功後に、既存のセッションIDとは別に秘密情報を発行し、ページの遷移ごとにその値を確認する。
  • セッションIDを固定値にしない。
  • セッションIDをCookieにセットする場合、有効期限の設定に注意する。

詳しくはIPAのサイトをご覧ください。

質問者さんが具体的にどのような対応を取るべきなのかは、指摘された脆弱性の種類によります。どのようにセッションIDが盗まれてしまうのかという部分を理解して、修正することになるでしょう。CakePHPであれば https://book.cakephp.org/3/ja/development/sessions.html のあたりに一般的な話題についてのドキュメントがあるので、IPAの資料と共に参照してみてください。

2
  • この回答はセッションIDの秘匿の一般論として正しいのだろうと思いますが、質問にどのように対応しているのかが私には難しかったです。 質問を読むかぎり、質問者さんが受けた指摘は「セッションIDを盗まれる脆弱性が有るので対策をせよ」というものでは無いようです。 診断においてセッションIDを盗まれる脆弱性が見つかった訳ではく、仮定として盗まれた状況を想定し、つまり診断の過程で盗む所まではチートで行なった上で、他人の権限を奪取しているものと思われます。 この回答の中で、上の状況に対応できる対策は「ログイン成功後に、既存のセッションIDとは別に秘密情報を発行し、ページの遷移ごとにその値を確認する」だけだと思うのですが、その理解で間違いないでしょうか。 その場合、セッションIDを盗まれる状況下では、セッションIDとは別の「秘密情報」も盗まれるのではと懸念しますが、いかがでしょうか。
    – mjy
    Commented 2023年7月7日 10:21
  • mjy さんのコメントは妥当なご指摘だと思う一方で、この回答は違う立場として書いています。つまり、おそらく「(セッション ID を盗める脆弱性があって)ログインユーザーBがログインユーザーAの権限で操作できてしまうという報告」のような報告だったのではないかと想定して書きました。 / それはそれとしてセッション ID が盗まれたものと仮定した場合の話も有益ではあって、一応「セッションIDを固定値にしない」や「セッションIDをCookieにセットする場合、有効期限の設定に注意する」も効いてきます。IPA のページには書かれていませんが、特に機微な情報にアクセスする前には再ログインを要求すべき、という意見も見たことがあります(パスワードは盗まれていない状況下では有効)。
    – nekketsuuu
    Commented 2023年7月7日 10:32
1

興味本位での質問でなければ、まず指摘された脆弱性とリスクを正確に把握することが必要です。
CVSS等で脆弱性のリスクが示されているはずですが、そのリスクと保護する情報資産の価値、その他対策に掛かる工数等を総合的に判断して、対策しないことも含めて対策内容が変わってきます。


以下、興味本位での回答です。
質問内容は、攻撃手法「CAPEC-593: Session Hijacking」の子要素「CAPEC-60: Reusing Session IDs (aka Session Replay)」への対策になろうかと思いますが、既に@nekketsuuuさんの回答で網羅的に示されている対策とほぼ同じです。

  1. ユーザーがログアウトした後は、必ずセッションIDを無効にする。
  2. セッションIDのセッションタイムアウトを設定する。
  3. クライアントとサーバー間の通信を保護する。例えば、SSLを使用して攻撃者による中間攻撃(CAPEC-94)を軽減することが最善の方法。
  4. GETメソッドを使用してセッションIDを送信するコードを作成しない。
  5. セッションIDに関連付けられたセッションデータを暗号化する。
  6. 多要素認証を使用する。

その他で個人的に思い付くのは、TLSでクライアント認証をすることです。
クライアント認証が通らなければセッションIDを再利用できないので、仮に漏れたとしても悪用できないと考えます。
クライアント認証をしているWebサイトは少なく、秘密鍵や公開鍵証明書の適切な管理をユーザーに求めるのは敷居が高いと思いますが、銀行の法人口座等では使われているようです。

日本ではマイナンバーカードが普及したので、利用者証明用電子証明書でログインできるサイトは増えていくのかもしれませんが、クライアント認証にも使えれば秘密鍵の管理が楽そうなんですけどね。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。