応用情報技術者 2011年 秋期 午後 問09

　 　W社は、インターネット上で日用雑貨品の会員制通信販売システムを運営する会社である。この通信販売システム（以下、本システムという）は、商品検索、注文、会員管理、会員掲示板などの機能を提供する。 　本システムの機能を利用するには、あらかじめ会員管理機能を使って、会員登録しなければならない。 　図1は、会員掲示板機能を使った会員掲示板画面の例である。

　ある日、会員情報が知らぬ間に書き換わっていたり、覚えの無い商品が届いたりしたとのクレームが複数の会員から寄せられた。情報システム部門で本システムを調べたところ、クレームに該当する登録情報の変更処理や商品の注文処理が確認された。 　情報システム部門の責任者であるA部長は、セキュリティ事故が発生したと判断して、本システムの利用を直ちに停止し、外部のセキュリティ専門会社の支援を受けながら対策をとることを指示した。 　後日、外部のセキュリティ専門会社から、今回のセキュリティ事故に関する調査報告書が届けられた。調査報告書に記載された内容は、次のとおりである。 　 〔セキュリティ事故の経過〕 　(1) 会員Xは、本システムのトップ画面から、会員ログインページへのボタンを押した。 　(2) 本システムは、ログイン画面を表示した。 　(3) 会員Xは、ログイン画面で、自身のアカウント名とパスワードを入力した。 　(4) 本システムは、アカウント名とパスワードを確認して、セッションIDを発行し、cookieを利用して会員のブラウザに戻した。 　(5) 会員Xは、会員メニュー画面で、会員掲示板機能を選択した。 　(6) 本システムは、会員掲示板画面を表示した。 　(7) 会員Xが、特定の会員掲示板ページを参照したときに、悪意のあるコードが自動的に実行され、会員Xの登録情報を書き換える処理と、注文処理が行われた。 　 〔想定される原因〕 　(1) 会員掲示板ページを出力する処理に問題があり、この問題を悪用したメソッドの代わりにbメソッドでアクセスすると、秘密情報を URL に付加して送信することになるので、ここでは利用を避けるべきである。また、HTML フォームで<form>タグを用いる場合、メソッド属性の指定を省略するとbメソッドと解釈されるので、適切に指定する必要がある。 　 　今回のように、ログインした会員だけが、予期しない処理を実行させられてしまうセキュリティ攻撃は、クロスサイトリクエストフォージェリ―と呼ばれている。 　この攻撃が成功する主たる要因は、会員の正しい要求と悪意のあるコードの要求を区別できないことである。 　この後、A 部長は、外部のセキュリティ専門会社の提言に従い、今回のセキュリティ攻撃の根本的な原因を解消すべく、本システムの改善を行うことにした。 　提言された対策(1)を本システムの全てのプログラムに適用し、その上で重要な処理を行う注文機能と会員管理機能に対して、提言された対策(2)を適用した。会員登録時における本システムと会員のブラウザとの間の情報の流れは、図2のとおりである。