筆者がWebセキュリティ評価で遭遇した深刻なWeb認証の脆弱性と、その対処法を紹介する。});わたしはWebセキュリティを評価するという仕事を通じて、数多くの興味深い問題に遭遇する。その大半は小さなことだが、深刻な問題も少なくない。本稿では、わたしが目にした幾つかの深刻なWeb認証の脆弱性(ログイン関連の脆弱性など)を紹介するとともに、開発者や品質担当者、セキュリティ担当者がこれらの問題に対処する方法を示したい。Explorer」(以下、IE)のヘルパーオブジェクトに関連したものだ。このシステムのログインメカニズムは基本的に、ユーザーのWindowsログインステータスとIDを評価し、ユーザーが有効なアカウントでマシンにログインしていれば、それ以上の認証は行わずにアプリケーションへのアクセスを許可するというものだった。驚くことに、Webプロキシを利用すれば、この“認証”プロセスを操作し、バックエンド環境に不正にアクセスできることが分かった。その方法は簡単で、HTTPリクエストを通じて送信されるWindowsユーザーIDフィールドを編集し、既存の有効なユーザーID(例えば「jsmith」)を挿入するだけだ。それ以降はWebプロキシを介在させることなく、ブラウザを閉じるまでシステムに自由にアクセスすることが可能になる。教訓:ユーザーが操作できるこのような認証ロジックは避けるべきだ。ユーザーが有効なアカウントを使ってローカルOSにログインしたからといって、彼らがWebアプリケーションにアクセスする権限があると判断してはならない。設定を有効にする必要があります。マーケティング新着記事Accenture調査から見えた2020年の5つのテクノロジートレンド「テック・クラッシュ」を乗り切るにはどうすればいいのか。AccentureのCEOおよびCTOの記...電話サポートの保留音、世界の主流はクラシック——Genesys調査13カ国で実施した電話サポートの保留音に関する調査結果です。「フードロス」「廃プラスチック」に高い関心——CCC調査エコ・環境問題への関心や関連トピックスへの認知度などを調査しています。製造IT流通IT医療ITTechTargetサービスホワイトペーパーホワイトペーパーキーワードホワイトペーパー提供企業一覧RSS一覧プレゼント&モニターITmediaはアイティメディア株式会社の登録商標です。