Web アプリケーションセキュリティ

第28章 パートIII まとめ

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

おめでとう、あなたはウェブアプリケーションセキュリティの各主要部分をやり遂げた。これであなたは、ウェブアプリケーションのリコンサイル、ウェブアプリケーションに対して使用する攻撃的なハッキングテクニック、そして、アプリケーションがハッキングされるリスクを低減するために採用できる防御的な緩和策とベストプラクティスに関する知識を得たことになる。

また、ソフトウェアセキュリティの歴史とハッキングの進化についても、ある程度の知識を持っている必要がある。これは、Web アプリケーションの偵察、攻撃テクニック、防御的な緩和策に至るまで、基礎となるものである。

本書の要点と教訓を簡潔にまとめると以下のようになる。

ソフトウェア・セキュリティの歴史

歴史的な出来事を正しく評価することで、現代の守備・攻撃テクニックの起源が見えてくる。この起源から、ソフトウェアが発展してきた方向性をよりよく理解し、次世代の攻守テクニックを開発する際に歴史的教訓を生かすことができる。

電話盗聴

• 電話網の規模を拡大するため、手動演算子から、電話機同士を接続する音の周波数に依存する自動化へと取って代わられた。

• 初期のハッカーたちは "フリーカー "と呼ばれ、これらの周波数をエミュレートし、料金を払わずに呼び出しができる管理トーンを利用することを学んだ。

• ベル研究所の科学者たちは、電話盗聴へのレスポンスとして、簡単に複製できないデュアル・トーン周波数システムを開発した。長い間、これによって電話盗聴はなくなったか、かなり減少した。

• やがて、DTMFトーンを模倣できる特殊化されたハードウェアが開発され、このようなシステムはフリーカーには無効となった。

• 最終的に、電話交換センターはデジタルに切り替わり、電話破壊のリスクはなくなった。DTMFトーンは、逆互換性のために現代の電話機にも残っている。

コンピューター・ハッキング

• パーソナルコンピュータはすでに存在していたが、コモドール64は、パーソナルコンピュータの普及に大規模な広がりをもたらすのに十分なユーザフレンドリー・バジェットフレンドリーな最初のコンピュータだった。

• アメリカのコンピュータ科学者、フレッド・コーエンは、フロッピーディスクを介してそれ自身のコピーを作成し、あるコンピュータから別のコンピュータへと拡散することができる最初のコンピュータ・ウイルスを実証した。

• もう一人のアメリカのコンピュータ科学者、ロバート・モリスは、研究室以外でコンピュータ・ウイルスをデプロイした最初の記録的な人物となった。モリス・ワームは、公開から1日で15,000台以上のネットワーク接続コンピューターに拡散した。

• 米国政府説明責任局が史上初めて介入し、ハッキングに関する公式の法律を定めたのだ。モリスはコンピューター・ハッカーとして初めて有罪判決を受け、1万500ドルの罰金と400時間の社会奉仕活動を課せられた。

ワールド・ワイド・ウェブ

• ウェブ1.0の発展は、ハッカーがサーバやネットワークを攻撃するための新たな道を開いた。

• HTTPを介したユーザ間のコラボレーションを伴うWeb 2.0の台頭は、ハッカーにとってブラウザという新たな攻撃ベクトルをもたらした。

• ウェブは、サーバやNetwork+を保護するために設計されたセキュリティの仕組みの上に構築されていたため、より優れたセキュリティの仕組みやプロトコルが開発されるまで、多くのユーザのデバイスやデータが危険にさらされた。 ...