Download presentation
1
情報セキュリティ 第１１回：２００６年６月３０日（金）
2
2 本日学ぶこと サーバサイドセキュリティ Ｗｅｂサーバのセキュリティ 暗号化通信（ＳＳＬ／ＴＬＳ），ユーザ認証，アクセス 制御 不正な入力への対応 SQL インジェクション クロスサイトスクリプティング バッファオーバーラン ファイアウォール セキュア OS
3
3 本日の授業で学ぶ内容 暗号通信がセキュリティのすべてではない 不正な入力のパターンを知り，それを防止する 機密性と可用性のバランスをとるには，アクセス制限 まずすべて拒否し，必要なものだけ許可する
4
4 なぜ，サーバサイドのセキュリティを考えるのか サーバが攻撃されると … ネットワークが機能しなくなる サービス（顧客など，外からのアクセス）に対応できな い！ LAN の外にアクセスできない！ 知らないうちに加害者になることも 踏み台攻撃， DDoS （ Distributed Denial of Service ）攻 撃 報道などにより，社会的信頼を低下する
5
5 典型的なＷｅｂサーバ環境 クライアント 入力 Ｗｅ ｂ サー バ 問い合わせ データベー スサーバ ＰＣ （ Window s) ＵＮ ＩＸ Ａｐａｃ ｈｅ Ｐｏｓｔｇ ｒｅＳＱＬ ＭｙＳ ＱＬ Ｏｒａ ｃｌｅ ＳＱ Ｌ 検索結果 ＨＴ ＴＰ Ｓｅｒ ｖｌｅ ｔ ＣＧＩ ＳＳ Ｌ 出力（ＨＴ ＭＬ，画像 など）
6
6 ＳＳＬ利用の留意点 サーバ証明書は自作できるが，その分，信頼性がない 「オレオレ証明書」 クライアント証明書は必須ではない クライアント認証はできても，ユーザ認証はしていない
7
7 Ｗｅｂアクセスでのアクセス制御・ユーザ認証 アクセス制御やユーザ認証をしていないと … だれでもコンテンツにアクセス可能 Googlebot (crawler) などがコンテンツを取っていくかも 「リンクを張ってないから」は言い訳にならない crawler
8
8 Ｗｅｂアクセスでのユーザ認証法（ Apache ） Basic 認証 ユーザ名とパスワードを指定すればアクセス可能になる． 不特定のアクセスを排除する パスワードは暗号化されない 認証後の通信も暗号化されない Digest 認証 パスワードは暗号化される 認証後の通信は暗号化されない パスワードファイルをサーバに設置する /etc/passwd と別 Web アクセスで見えないところに置く！
9
9 アクセス制御 どこからのアクセスを許可・拒否するか サーバ内のどの情報へのアクセスを許可・拒否するか 設定ファイル（ Apache ） httpd.conf, apache.conf など 編集には一般に root 権限が必要 order deny,allow deny from all allow from.wakayama-u.ac.jp allow from 192.168.0.0/255.255.255.0 アクセス制限の記述例 対象ディレクト リ まず拒否 許可する 接続元ホスト 名 許可する 接続元 IP アドレ ス
10
10 Ｗｅｂアクセスでの不正な入力 ディレクトリトラバーサル SQL インジェクション クロスサイトスクリプティング バッファオーバーラン（バッファオーバーフロー）
11
11 ディレクトリトラバーサル ＣＧＩを使って， Web アクセスで通常見ることのできな いファイルが見えてしまう 対策 ファイル名を指定するような入力フォームは作らない 「../ 」といった入力を適切に検出し，エラーとして扱う ファイルを開く前に，開いていいファイルか，そのフル パスから判断する（ ×/etc/passwd, ○/var/www/data/file1 ）
12
12 SQL インジェクション 期待される入力と SQL 文 SELECT count(*) FROM users WHERE username='takehiko' AND password='abcd'; 悪意のある入力と SQL 文 SELECT count(*) FROM users WHERE username='takehiko' AND password='1' OR 'X'='X'; delete 文を埋め込んで，レ コードをすべて削除してしま うかも
13
13 SQL インジェクションへの対策 入力中の特殊な文字をエスケープする（サニタイジン グ） 「 ' 」 → 「 \' 」など プレースホルダ（準備済み SQL 文）を使用する $sth = $dbh->prepare(q{ SELECT count(*) FROM usertable WHERE username=? AND password=? }); $sth->execute($username, $password); サニタイジングは，安全に処理してくれるライブラリルー チン （先人の知恵）にお任せ Ｐｅｒｌの コード例 SELECT count(*) FROM users WHERE username='takehiko' AND password='1\' OR \'X\'=\'X'; 上の例で $username が「 takehiko 」， $password が 「 1' OR 'X'='X 」なら …
14
14 クロスサイトスクリプティング XSS とも書く 問題（悪意）ある URL でアクセスすると， Cookie などブ ラウザの情報が漏洩することがある アクセス先のホスト（Ｗｅｂサーバ）は，企業などで，悪 意はない ただし現在では，対策をしていないアプリケーションは 脆弱性があると言ってよい URL に JavaScript のコードが埋め込まれていることが多い
15
15 クロスサイトスクリプティングへの対策 サーバ側 サニタイジング 「 」 → 「 > 」，「 " 」 → 「 " 」 など クライアント側 アクセスしようとする URL をよく確認する HTML メールはできれば使わない URL エンコーディング（「 %3C 」など）に注意
16
16 バッファオーバーラン C や C++ で，配列や malloc で確保した領域の範囲外に情 報を書き込み，実行できてしまうことがある Ｗｅｂサーバに限らず，クライアント PC などでも起こり得 る Ｗｅｂサーバの場合，やたら長いパスでアクセスしていれ ば，この攻撃を疑う 対策： セキュリティ上問題のないバージョンのアプリケーション を使う ＣＧＩなどを C か C++ で作る場合，範囲外にノーチェック で書き込める危険な関数（ strcpy ， sprintf など）は使わない
17
17 ファイアウォール ファイアウォールとは 組織内のコンピュータネットワークへ外部から侵入（不正 アクセス）されるのを防ぐシステム パケットフィルタリングとは 送られてきたパケットを検査して，通過させるかどうか判 断する，ファイアウォールの一つの機能 パケットヘッダに含まれている情報：プロトコル，送信 元・先の IP アドレス，ポート番号など Linux でパケットフィルタリングをするには …iptables
18
18 iptables Linux でのパケットフィルタリングツール どこからのアクセスを許可・拒否するか どのインタフェースのアクセスを許可・拒否するか どのポート番号のアクセスを許可・拒否するか NAT (Network Address Transformation) の機能もある OK NG
19
19 iptables の利用方法の基本 外からのアクセス (INPUT) は基本的に DROP ，必要に応 じて ACCEPT lo (localhost に関するインタフェース）は ACCEPT インタフェースは /sbin/ifconfig を実行すればわかる LAN など，信頼できるネットワークからのアクセスはす べて ACCEPT でもよい 外からのアクセスに必要最小限なポートも ACCEPT ssh (22) ， http (80) ， https (443), smtp (25) など 一律 ACCEPT ではなく，本当に必要なもののみにする！ ACCEPT のルールに当てはまらないものは， LOG をとる のもよい
20
20 ブロードバンドルータはセキュリティに役立つ？ PC （ Windows でも PC-UNIX でも）をインターネットに 直結するのは，攻撃やウイルス感染のもと！ まずブロードバンドルータを導入して，外からのアクセ スを遮断する． 外からのアクセスを受け入れたいなら，「バーチャル サーバ」などの機能を使う DMZ (DeMilitarized Zone) 機能はなるべく使わない．使 うときは，アクセス先計算機のファイアウォールをきち んと設定してから．
21
21 UNIX の安全性 root は全能の神 ⇒ root 権限を奪われる（権限昇格）と，何でもされてし まう セキュアＯＳ 既存の OS と互換性は保ちつつ，神のような強大な権限を なくす 「強制アクセス制御（ Mandatory Access Control, MAC ）」と 「最小特権」を持つ Linux におけるセキュアＯＳ SELinux (Security Enhanced Linux) LIDS (Linux Intrusion Ditection System)
22
22 まとめ サーバの安全性には最大の注意を払う サーバのセキュリティを知ることで分かる「パソコンの セキュリティ」もある
