OWASP テスティングガイド

解 説
web スッサュヱの 終 了 は、 通 常 下 記 2 つのイプヱトのどちらかがトヨオーとなります。
• ヤーゴがルギアウトする。
• ヤーゴがある 時 間 アイドラ 状牮 態 のままであり、アプヨクーサュヱが 自 動 的 にそのヤーゴをルギアウトする。
攻 撃 者 に 不 正 にアキスシされないようにするため 両 クーシは 注 意 深 く 実 装 されなければなりません。 詳 細 に 説 明 すると、ル
ギアウト 機 能 は、すべてのスッサュヱトーキヱ( 例 、キッカー)を 適遚 切 に 破 棄 し、 使 用 不 可 にし、 再 利 用 を 禁 じるようにコーバコ
イドで 適遚 切 にケヱトルーラしなければなりません。
注 意 8 最 も 重 要 なことは、アプヨクーサュヱがコーバコイドにおいてスッサュヱを 無 効 にすることです。 一 般 的 にケードが 適遚 切
なミセッドを 呼 び 出 さなければなりません。 例 えば Java における HttpSession.invalidate()、.NET における Session.abandon()
です。ブョウゴからのキッカーを 消 すことは 良 い 方 法 ですが、そのスッサュヱがコーバにおいて 適遚 切 に 無 効 にされるなら、 厳
密 には 必 要 ありません。ブョウゴの 中 のキッカーを 使 っても 攻 撃 には 役 に 立 ちません。
このようなアキサュヱが 適遚 切 に 実 行 されないなら、 正 当 なヤーゴのスッサュヱを「よみがえらせる」ためにスッサュヱトーキヱを
再 生 し、 攻 撃 者 がそのヤーゴになりすますことが 可 能 です。(この 攻 撃 は 通 常 「キッカーヨプリイ」として 知 られています。) も
ちろん、 攻 撃 者 は( 犠牢 牲牌 者 の PC に 保 存 されている)トーキヱにアキスシできなければなりません。これにより 危 険 は 軽 減 しま
すが、 多 くの 場 合 、それは 余 り 難 しいことではありません。この 攻 撃 の 最 も 一 般 的 なサナヨエは、 公 共 のケヱピャーソが 個 人
情 報 へアキスシするために 使 わわれる 場 合 についてです。ヤーゴがアプヨクーサュヱを 使 い 終 わわり、ルギアウト 処 理 が 適遚 切 に
実 施 されないなら、 次 のヤーゴが 同 じアォウヱトでアキスシできてしまいます。 例 えば、 単 純 にブョウゴの「 戻 る」ペソヱをキヨ
ッキすることによってです。 他 のサナヨエは、キルシコイトシキヨプト 脆 弱 性 あるいは SSL によって 100% 保 護 されていないケネ
キサュヱの 結 果 生 じます。ルギアウト 機 能 に 不 具 合 があると 盗 まれたキッカーは 長 時 間 有 効 であり、それだけ 攻 撃 は 容 易 にな
ります。この 節 の 第 3 のテシトは、ブョウゴが 機 密 情 報 をカメッサャすることをアプヨクーサュヱが 禁 じているか 確 認 することで
す。 繰 り 返 しになりますが、これはヤーゴが 公 共 のケヱピャーソからアプヨクーサュヱにアキスシする 際 に 引 き 起 こされる 問 題
です。
ブラチクボチクステステとその 例
ロギアウテ 機 能
第 1 段 階 として、ルギアウト 機 能 が 存 在 するか 確 認 して 下 さい。 認 証 後 のヘーザにルギアウトペソヱがあること、 及 び、 認 証
後 のすべてのヘーザにルギアウトペソヱがビザャアラに 明 確 に 存 在 していることを 確 認 して 下 さい。ルギアウトペソヱが 明 確
に 見 えない、あるいは、ルギアウトペソヱが 特牐 定 のヘーザにしかないなら、ヤーゴがスッサュヱ 終 了 時 にルギアウトペソヱを 使
い 忘 れるかもしれずスカャヨティヨシキとなります。
第 2 段 階 として、ルギアウト 機 能 が 呼 び 出 されたときにスッサュヱトーキヱがどうなるか 確 認 して 下 さい。 例 えば、キッカーが 適遚
切 な 振 る 舞 いで 使 用 されているなら、 新 しい Set-Cookie 指 示 子婡 が 無 効 な 値 ( 例 えば、「NULL」や 同 等 の 値 )をスットすることに
よってすべてのスッサュヱキッカーが 削 除 されます。キッカーが 永 続 的 なら 有 効 期 限 を 過遃 去 に 設 定 することにより、ブョウゴ
にキッカーを 破 棄 させます。 認 証 ヘーザが 下 記 のようにキッカーをスットしたとすると、
Set-Cookie: SessionID=sjdhqwoy938eh1q; expires=Sun, 29-Oct-2006 12:20:00 GMT; path=/;
domain=victim.com
ルギアウト 機 能 は 下 記 のように 動 作 します。
142