分かりやすく図解で解説2019年11月20日セッションハイジャックって知ってるかな?ハイジャック・・・もしかしてセッションを乗っ取る攻撃ですか?その通り。本記事では「セッションハイジャック」について分かりやすく説明しています。属性を加えるセッションハイジャックとはセッションハイジャックとは、Webサイトなどで利用されるセッションIDを盗聴や推測で盗み出し、利用者に「なりすまし」不正アクセスを行うサイバー攻撃の一種です。セッションIDとは一般的に個人情報を扱う会員サイトはログイン画面があり、ログインIDとパスワードで認証することで会員サイトにログインします。この時、ログインした会員のセッションを識別するIDとして「セッションID」が、サーバで払い出されます。Webサーバにより払い出された「セッションID」は、Webブラウザで情報を共有する仕組みであるCookieなどを利用しクライアント側に保存されます。以降は通信のたびにクライアント側からセッションIDを送ることで、Webサーバは利用者の識別を行うことができるのです。セッションハイジャックは「セッションID」を盗み取る攻撃ログインした会員のセッションを識別するIDである「セッションID」、攻撃者はこの「セッションID」を盗聴や推測で盗み取ります。「セッションID」を盗み取ることで、利用者に「なりすまし」会員サイトなどにアクセスすることが可能となります。その結果、会員サイトなどに登録してある"個人情報"が盗み取られたり、不正操作されたりする被害が発生する危険性があるのですオンラインバンキングに不正アクセスされたら大変だ・・・セッションIDってどうやって盗むの?セッションIDを推測する悪意のある攻撃者は、ターゲットのシステムにログインを繰り返し、セッションIDの生成規則を割り出し、有効なセッションIDを推測します。(ランダムで)」などを利用して生成することが一般的ですが、上記図のように安易な生成規則で「セッションID」を生成している場合、簡単にセッションIDを推測されてしまう危険性があるのです。通信を盗聴して「セッションID」を盗み取るLANアナライザ、パケットキャプチャツール、ネットワークモニタといった専用機器を使うことで通信を盗聴することが可能です。本来はネットワークに流れるパケット(データ)を監視し問題解決のために用いられる専用機器です。この専用機器を悪用することで通信内容を盗聴することが出来てしまうのです。スポンサーリンク通信データの盗聴を防ぐには、利用しているサイトが「SSL/TLS」による暗号化対策をしているか(httpsで始まるサイト)確認することが大切です。その他にもWebサイトを「改ざん」し罠を仕掛け「セッションID」を盗み取る方法や、悪意ある攻撃者が正規のセッションIDを取得し、そのセッションIDを他の利用者に強制する手法(セッションIDの固定化)などもあります。セッションハイジャック対策セッションIDは推測困難な方法で採番するセッションIDが単純な生成規則で採番されている場合、悪意のある攻撃者に簡単に推測されてしまう危険性があります。使用して推測困難な手法で生成する必要があります。セッションIDをURLパラメータに格納しないセッションIDをURLのパラメータに格納するのは避けましょう。パラメータに格納していると、Referer経由で外部にURLが漏れた場合、セッションIDが漏洩してしまいます。Cookieに格納するか、POSTメソッドのhiddenパラメータに格納して受け渡しするのが一般的です。属性」という設定項目があり、この項目を設定することでHTTPS通信時のみCookieが送信されます。属性」を設定しない場合、HTTPS通信時のCookieがHTTP通信時にも見ることができてしまい「セッションID」が盗聴される危険性があります。盗聴を防ぐためにも、通信内容が暗号化されたHTTPS通信を利用し、Cookieには「secure属性」を加えるようにしましょう。コメントをキャンセルメールアドレスが公開されることはありません。AFFINGER5.。