ウェブアプリケーションセキュリティ 第2版

第16章. クライアントサイド攻撃

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

アプリケーションセキュリティの前近代的な世界（Web 1.0）では、Web アプリケーションのクライアント（別名ブラウザ）コンポーネントは、ハッカーにとって一般的な攻撃ベクトルではないと想定されていた。その結果、企業はアプリケーションのリスク表面積の大部分はバックエンド（サーバ側）にあると想定し、 ブラウザクライアントの安全性を確保することにほとんど投資しなかった。

Web 2.0が普及するにつれ、以前はサーバでしか発見できなかった機能がどんどんクライアントに押し寄せてきた。複雑な演算子は、バックエンドのJavaやC言語からクライアントサイドのJavaScriptに書き換えられる。バックエンドのデータストアは、ローカル・ストレージ、セッション・ストレージ、IndexedDBに置き換えられるだろう。

非同期JavaScriptとXML（AJAX）タイプのネットワーククエリによって、アプリケーションの状態を維持、更新、保存するクライアントサイドアプリケーションの開発が可能になる。 JavaScriptプログラミング言語とブラウザDOMに対するクライアント側の改良により、更新、レンダリング、再レンダリング、削除など、デスクトップアプリケーションと同様の複雑なコンポーネントのライフサイクルが可能になる。

全体として、Webアプリケーションの全体的なアーキテクチャは、サーバーがすべての演算子を担当し、クライアントはレンダリング（ビュー）レイヤーに過ぎないモデルから、サーバーとクライアントの両方がさまざまな複雑な演算タスクを担当するモデルに変わることになる。

現代のWebサイトは、この変化を反映している。世界最大のWebサイトはすべて、複雑なサーバ側とクライアント側の両方の機能を利用している。そのため、セキュリティの専門家は、セキュアなサーバ側ソフトウェアとセキュアなクライアント側ソフトウェアの両方を提供できるように、スキルセットを迅速に更新する必要がある。

この章では、サーバではなくクライアントを標的として、ウェブ・アプリケーションを悪用する一般的なメソッド を取り上げる。

ブラウザ・クライアントを攻撃するメソッド

まず、クライアント側の攻撃について 、サーバを排除することから始めよう。クライアント側攻撃とは、脆弱なウェブサーバやクライアントのサーバへのネットワーク呼び出しを必要としない攻撃（悪用可能な脆弱性）のことである。ブラウザ・クライアントを攻撃する方法には、大きく分けて、クライアントを標的とした攻撃とクライアント固有の攻撃の2つがある。

クライアントを標的にした攻撃

まず、クライアント、サーバどちらにも影響を与える一般化された脆弱性がある。 この例は、前の章で評価した正規表現のサービス拒否（ReDoS）脆弱性である。

正規表現は、ほぼすべての主要なサーバ側言語（Java、C#、Pythonなど）で実装されている一般的なプログラミングツールであるが、ブラウザ（JavaScript）や他のあまり一般的でないクライアント（Adobe Airなど）にも存在する。ReDoS攻撃は常にクライアント側からの攻撃というわけではないが、ブラウザクライアント上のJavaScriptコードが、ネットワーク呼び出しやサーバとのやりとりを必要とせずにクライアントが脆弱になるような構造になっている場合、クライアント側からの攻撃となることがある。 ...