OWASP テスティングガイド

他 のすべてのパョミーソが 単 純 に2 文 字 、または、3 文 字 の 文 字 列 であったとすれば、 例 えば、28 文 字 から 文 字 列 の 組 合
せを 推 測 し 始妵 めることはできないでしょう。ウェブアプヨクーサュヱシカメナは、 総 当 り(ブラートフェーシ' 方 式 (または 推 測 '
によって、30 文 字 のすべての 鍵 空 間 の 探 索 を 必 要 とします。その 大 きさは、30^28(30 の 28 乗 'の 順 列 ( 訳 注 '、あるいは
何 兆 という HTTP ヨキウシトに 遉 しますㅯ! これは、デザソラの 干 し 草 の 山 の 中 で、1 個 の 電 子婡 を 探 すようなものですㅯ! この 例
のボザッキパョミーソのタェッキケードは 次 のようになるでしょう8
( 訳 注 8 正 確 には、アラファプット 26 種 ×2、 数 字 10 種 の 重 複 順 列 で、62 の 30 乗 、 約 6×10 の 53 乗 です'
public void doPost( HttpServletRequest request, HttpServletResponse response)
{
String magic = “sf8g7sfjdsurtsdieerwqredsgnfg8d”;
boolean admin = magic.equals( request.getParameter(“magic”));
if (admin) doAdmin( request, response);
else …. // normal processing
}
ケードを 見 れば、 脆 弱 性 は、 潜 在 的 問 題 点 としてすぐにヘーザから 飛 び 出 すように 目 に 入 ってきます。
例 2:よくない 暗 号
暗 号 はウェブアプヨクーサュヱで 広 く 使 わわれます。 開 発 者 がコイト?で 認 証 したヤーゴを 自 動 的 にコイト@でも 認 証 する 単 純
な 暗 号 アラゲヨジマを 書 くことに 決 めたと 想 像 してください。 開 発 者 は、 知 恵 を 絞 ったつもりで、もしヤーゴがコイト?にルギイ
ヱしたら、MD5 ハッサャ 機 能 を 使 い、Hash {username8date} で 鍵 を 生 成 することに 決 定 します。ヤーゴがコイト@に 受 け 渡 さ
れるときに、HTTP ヨゾイリキトでキウヨーシトヨヱギを 使 用 して、コイト@に 鍵 を 送 ることにします。コイト@が 独犉 立 にハッサャ 値 を
計 算 して、ヨキウシトで 渡 されたハッサャ 値 と 比 較 します。もし、 二 つのハッサャ 値 が 一 致 するなら、コイト@は、ヤーゴが 主 張
するとおりに、ヤーゴを 認 証 します。 明 らかに、 処 理 の 流 れの 説 明 の 中 で 不 適遚 切 な 部邪 分 が 分 かります。 仕 組 みが 分 かった
人 (あるいは、 教 えてもらった 人 や、バギトョッキから 情 報 をゾウヱルードした 人 'であれば 誰 でも、どのようにして、 任 意 のヤ
ーゴとしてルギイヱできるかを 見 ることができるでしょう。イヱソビャーのような、 手 動 の 検 査 であれば、このスカャヨティ 上 の 問
題 点 をすぐに 発 見 できたでしょう。ケード 検 証 (イヱシヘキサュヱ'でも 発 見 できたでしょう。ブョッキペッキシのウェブアプヨクー
サュヱシカメナでは、128 ビットのハッサャ 値 がヤーゴごとに 異 なり、また、ハッサャの 性 質 として、 予 測 可 能 な 方 法 では 変 化
しないと 考 えるかもしれません。
スタテァチク( 静 的 )なセ-スケーデレパャーヂールについての
)
注 釈
多 くの 組 織 がシソティッキなセーシケードシカメナを 使 い 始妵 めました。シソティッキなセーシケードシカメナは、 包 括 的 なテシト
計 画 において 一 定 の 場 所 を 占 めているのは 間 遊 いありませんが、 単 独犉 で 使 わわれるときには、なぜ、このアプルータが 効 果
的 であるとは 信 じられないかについて、いくつかの 基 本 的 な 問 題 点 を 強 調 しておきたいと 考 えます。シソティッキなセーシケ
ードシカメナのみでは、 設 計 に 起 因 する 不 具 合 を 特牐 定 することができません。なぜなら、ケードが 生 成 された 理 由 を 理 解 で
きないからです。セーシケード 解 析 ツーラはケーディヱギの 不 具 合 によるスカャヨティ 上 の 問 題 点 を 決 定 するためには 有 用
ですが、 発 見 事 項 の 妥妞 当 性 を 検 証 するためには、かなりの 手 動 作 業 が 必 要 です。
スキャリテァ 要 求 事 項 によるテステの 導 出
もし、 優 れたテシト 計 画 を 策 定 したいのであれば、テシトの 目 的 が 何 であるかを 知 る 必 要 があります。テシトの 目 的 は、スカャ
ヨティ 要 求 事 項 によって 特牐 定 されます。このスキサュヱでは、どのようにして、スカャヨティテシトのための 要 求 事 項 を、 適遚 用 可
能 な 標 準 、 規 制 、および、 肯 定 的 、あるいは、 否 定 的 なアプヨクーサュヱの 要 求 事 項 から 導 き 出 すことによって 文 書 化 するか
について 詳 細 に 論 じます。また、どのように、スカャヨティ 要 求 事 項 が SDLC において 効 果 的 にスカャヨティテシトを 推 進逭 する
か、そして、どのように、スカャヨティテシトデーソをセフトウェアスカャヨティヨシキを 効 果 的 に 管 理 するために 使 うことができる
かについても 論 じます。
30