OWASP テスティングガイド

OWASP Testing Guide v3.0
• テシトは 手 動 で 行 うことができます。また、プルスシの 自 動 化 のために fuzzer を 使 うこともできます。
4.9.2 顧 客 アカウンヱテのロチク (OWASP-DS-002)
概 要
このテシトでは、 攻 撃 者 が 間 遊 ったパシワロードでルギイヱ 試 行 を 繰 り 返 すことによって 有 効 なヤーゴアォウヱトをルッキするこ
とができるかどうかをタェッキします。
この 問 題 の 説 明
最 初 に 考 えるべき DoS のクーシでは、ソーグットアプヨクーサュヱの 認 証 サシテマが 関 係 しています。ブラートフェーシによ
るヤーゴパシワロード 破 りを 防 ぐためのよくある 防 御 方 法 は、3 回 から 5 回 のルギイヱ 試 行 の 失 敗 の 後 にアォウヱトの 仕 様 をル
ッキすることです。これは、 正 当 なヤーゴが 正 しいパシワロードを 入 力 しても、アォウヱトがアヱルッキされるまでサシテマにルギ
イヱできないということです。もし、 正 当 なルギイヱアォウヱトを 予 測 する 方 法 があれば、アプヨクーサュヱに 対 する DoS 攻 撃 と
なりえます。
そのアプヨクーサュヱを 取 り 巻 く 状牮 況 に 応 じて 取 るべきビザネシとスカャヨティのバョヱシがあることに 留 意 しましょう。アォウヱ
トをルッキすること、 顧 客 がアォウヱト 名 を 選遥 べること、CAPTCHA のようなサシテマを 使 用 することについては 賛 否 両 論 ありま
す。 企 業 はそれぞれヨシキとプネフィットのバョヱシを 取 る 必 要 がありますが、こうした 判 断 についての 詳 細 すべてをここでは
扱 いません。このスキサュヱでは、アォウヱトのルッキアウトと 情 報 取 得 が 可 能 な 場 合 に 可 能 な DoS に 対 するテシトにフェーォ
シします。
ブラチクボチクステステ 及 びびその 例
一 定 回 数 のルギイヱ 失 敗 の 後 にアォウヱトが 実 際 にルッキされるかどうかのテシトをまず 行 う 必 要 があります。もし 正 当 なアォ
ウヱト 名 を 既 に 見 つけ 出 していたら、 少 なくとも 15 の 間 遊 ったパシワロードをわわざとサシテマに 送 ることによってアォウヱトが 実
際 にルッキされるかどうかをタェッキするために 使 用 します。もしアォウヱトが 15 回 の 試 行 後 にルッキされなければ、その 後 も
ルッキされないでしょう。 多 くの 場 合 、アプヨクーサュヱは、ルッキアウトの 閾 値 に 近 づいていることをヤーゴに 警 告 するというこ
とに 留 意 しましょう。これはテシソーにとって 有 用 です。とりわわけ、 契 約 の 規 定 によって、 実 際 のアォウヱトルッキが 望 ましくな
い 場 合 に 有 益 です。
テシトのこの 段 階 でアォウヱト 名 が 全 くわわかっていない 場 合 、テシソーは 正 当 なアォウヱト 名 を 見 つけるために 以 下 の 手 法 を
使 わわなくてはなりません。
正 当 なアォウヱト 名 を 見 つけるために、テシソーは、 正 当 なルギイヱと 不 正 なルギイヱの 差 異 が 示 されている 場 所 をアプヨク
ーサュヱ 内 で 見 つける 必 要 があります。よくある 場 所 は 以 下 の 通 りです:
1. ルギイヱヘーザ – 既 知 のルギイヱ 名 と 間 遊 ったパシワロードを 使 用 して、ブョウゴに 返 されるウョーミッスーザを 確 認
します。 次 に 全 くありそうもないルギイヱ 名 と 同 じパシワロードでヨキウシトを 送 り、 返 されるウョーミッスーザを 確 認 しま
す。もしミッスーザが 異 なっていたら、 正 当 なアォウヱト 名 を 見 つけるのに 使 えます。リシホヱシの 遊 いが 非 常 に 少
なく、すぐにはわわからない 場 合 もあります。 例 えば、 返 されるミッスーザは 全 く 同 じで、リシホヱシ 時 間 がほんの 少 し
遊 うことに 気 づく 場 合 があります。コーバから 返 される HTTP リシホヱシペディのハッサャを 比 較 する 方 法 もあります。
297