破られやすいサインインとセッション

従業員30人の会社に、社員用のサイトがあります。初期パスワードが Password1 のまま、変えていない人が何人もいました。

ある晩、誰かがよくあるパスワードを数十個、社員名簿の全員に試しました。数分で経理担当のアカウントに入れました。このサイトには、失敗の回数に制限がなかったのです。

人は、短くてありふれたパスワードを選びます。攻撃する人に必要なのは、ありふれたパスワードの一覧と、何度でも試させてくれるサイトだけです。これが ブルートフォース です。

守りは3つを合わせます。長さを求めます。一覧にあるパスワードを断ります。失敗が続いたら、遅くするか、止めます。

サイトは、パスワードをそのまま保存してはいけません。記録が漏れたとき、全員のアカウントが漏れるからです。

保存するのは、パスワードの ハッシュ です。先にランダムな塩(ソルト)を足すので、同じパスワードの2人でも、ハッシュは違います。サインインのときは、入力を同じ方法で変えて、比べます。

サインインすると、サイトはブラウザにセッションの Cookie を渡します。以後のリクエストでは、その Cookie で本人だと分かります。その値を持つ人は、本人として動けます。

だから、ランダムで長いこと、HTTPS だけで送ること、HttpOnly でスクリプトから隠すこと、期限があることが必要です。サインインのたびに、新しい値を発行します。

ラボでは WebGoat が動いています。起動して、1分ほど待ちます。次の3つの Run は、サインインせずに玄関を見るだけです。

2つ目は、サインインが要るページを頼みます。3つ目は、その返事が出す Cookie を表示します。

curl -s -o /dev/null -w "%{http_code} %{redirect_url}\n" http://web/WebGoat/login

curl -s -o /dev/null -w "%{http_code} %{redirect_url}\n" http://web/WebGoat/welcome.mvc

curl -s -I http://web/WebGoat/welcome.mvc | grep -i "^set-cookie"

1つ目は 200 を表示し、移動先のアドレスはありません。2つ目は 302 とサインインページのアドレスを表示します。サインインが要るページは、知らない人を玄関へ戻します。

3つ目は、Path=/WebGoat; HttpOnly の付いた JSESSIONID です。値はランダムで、毎回変わります。HttpOnly はありますが、Secure はありません。このラボは、ふつうの HTTP だからです。

ユーザー名とロールと期限を入れた、署名つきのトークンを渡すサイトがあります。サーバーは、中身を信じる前に署名を確かめます。

署名のないトークン、サーバーが確かめないトークン、期限のないトークンは、弱いトークンです。この3つは断ります。