OWASP テスティングガイド

4.5.1 スチシュンヱ 管 理 スキーボのテステ (OWASP-SM-001)
概 要
ウェブ・コイトやコービシの 各 ヘーザで 絶 え 間 なく 認 証 するのを 避遪 けるため、ウェブ・アプヨクーサュヱは 予 め 決 められた 期 間
に 渡 って 証 明 書 を 保 存 し、その 妥妞 当 性 を 検 証 する 各 種 の 機 構 を 実 装 しています。
これらの 機 構 はスッサュヱ 管 理 機 構 として 知 られ、アプヨクーサュヱの 便 利 さとヤーゴへの 好 ましさを 増 大 させるために 最 も
重 要 であるにもかかわわらず、 侵 入 テシトの 実 行 者 によって 攻 略 され、 正 確 な 証 明 書 を 用 意 することなくヤーゴ・」アォウヱトに
アキスシされてしまい 得 るのです。このテシトで、キッカーと 他 のスッサュヱ・」トーキヱがスカャアで 予 測 不 可 能 な 方 法 により 生
成 されることをタェッキしましょう。 弱 いキッカーを 推 測 し、 偽 造造 できる 攻 撃 者 は、 正 当 なヤーゴのスッサュヱを 簡 単 に 乗 っ 取
れます。
関 連 するスキャリテァ 活 動
スチシュンヱ 管 理 の 脆 弱 性 の 解 説
OWASP のスッサュヱ 管 理 の 脆 弱 性 (Session Management Vulnerabilities)についての 文 献犰 を 参 照 。
スチシュンヱ 管 理 の 対 策 の 説 明
OWASP のスッサュヱ 管 理 の 対 策 (Session Management Countermeasures)についての 文 献犰 を 参 照 。
スチシュンヱ 管 理 の 脆 弱 性 の 回 避 方 法
スッサュヱ 管 理 の 脆 弱 性 の 回 避遪 (Avoid Session Management) 方 法 についての OWASP の 開 発 オイド(OWASP Development
Guide)の 文 献犰 を 参 照 。
スチシュンヱ 管 理 のケーデをレパャーする 方 法 || 脆 弱 性
スッサュヱ 管 理 の 脆 弱 性 のケードをリビャーする(Review Code for Session Management) 方 法 について、OWASP のケードリ
ビャーオイド(OWASP Code Review Guide)の 文 献犰 を 参 照 。
問 題 の 記 述
キッカーはスッサュヱ 管 理 を 実 装 するために 使 わわれてきたもので、RFC2965 で 詳 細 に 記 述 されています。 簡 単 に 言 えば、ヤ
ーゴがアプヨクーサュヱにアキスシする 際 、 操 作 を 追 跡 し 複 数 のヨキウシトにまたがってヤーゴを 認 識 する 必 要 がある 場 合 に
は、コーバにより 一 つ(またはそれ 以 上 の)キッカーが 生 成 され、キョイアヱトに 送 られます。するとキョイアヱトは、 期 限 が 切 れ
るか 破 棄 されるまではそのキッカーを、 以 降 のすべての 接 続 でコーバに 送 り 返 します。キッカー 内 に 格 納 されたデーソは、
ヤーゴがだれかということ、それまでに 彼 がどのような 活 動 をしてきたか、 彼 の 好 みは 何 かといった、 非 常 に 幅 広 い 情 報 をコ
ーバに 提 供 し、それにより HTTP のような 状牮 態 を 持 たないプルトケラに 状牮 態 を 提 供 します。
典 型 的 な 例 は、エヱョイヱ・サュッピヱギォートに 見 られます。ヤーゴのスッサュヱ 全 体 に 渡 り、アプヨクーサュヱは 彼 の 識 別
子婡 、プルフィーラ、 彼 が 購 入 すると 決 めた 製 品 、 個 数 、 個 々の 価 格 、 値 引 きなどを 把 握 し 続 けなくてはなりません。キッカー
はこの 情 報 を 保 持 したり 前 や 後 ろに 受 け 渡 したりするのに 効 果 的 です。( 他 に URL のパョミーソと 隠 蔽 されたフィーラドを 使
う 方 法 があります。)
156