今回、特に多かった1位のクロスサイトスクリプティングの仕組みについてお話したいと思います。クロスサイトスクリプティングとは、プログラムやソフトウェアの脆弱性(不具合やミスなどによる弱さ。セキュリティホールとも言う。)をついて、誰かのサイトに悪意のあるプログラムを埋め込むことです。目的によって動作する内容は異なります。これらは2000年に施行された、「不正アクセス禁止法」および関連法律によって犯罪となっていて、違反した場合は3年以下の懲役又は100万円以下の罰金に処せられます。過失と未遂は対象外です。一般的にスクリプトとは「JavaScript」を指すことが多くあります。JavaScriptで、どこかの掲示板にメッセージをポップアップ表示する方法はこんな感じです。</script>123<script>alert('イエーイ');</script>普段、JavaScriptの講義をさせていただいているのですが、そこでは第1回目に習う非常に簡単な記述です。これを、掲示板や、お問い合わせフォーム、注文フォームなどに埋め込むことで、クロスサイトスクリプティングが可能となります。フォーム関連というのは、ユーザが直接文字を入力できる唯一のエリアなので、この便利さを逆手に取った手法です。クロスサイトスクリプティングは、上述のように、誰かのサイトや誰かのパソコンに悪意のあるプログラムを埋め込むことでした。具体的な話をしましょう。この2点はクロスサイトスクリプティングの脅威です。Gmailにログインして、メールを見るという行為が、誰かにハイジャックされてしまうことも大いにありうることです。乗っ取りにはCookie(クッキー)という便利なコンピュータの仕組みを利用します。ある日、GmailにID名とパスワードでログインし、そのままログアウトせず別の日に同じパソコン、同じIPアドレスからGmailにアクセスしたとします。すると、Gmailは、「あ!同じ人だ!」と自動的に判別してくれ、再びID名やパスワードを入力する必要なく利用できます。これをCookieという情報保管箱のようなものに、さまざまな情報を「一時的に」保存しておける、と考えてください。Cookieには有効期限があり、一定期間使用していなかったりすると、再度ログインを求められます。そこでハッカーはこのCookieを盗むわけです。