上野　これがSQLインジェクション。データベースの操作に使うSQL文を使って、Webアプリに作り手の意図しない挙動をさせる攻撃だね。ちなみに入力した文字列はプログラマーなら知ってて当たり前なレベルのものだし、当然対策していて当たり前でもあるんだけど、影響力が強すぎるからテストでもあまり使わないほうがいい。他社のWebアプリとかでは絶対に試さないでね。

荒井　分かりました。

上野　ざっとこんなところかな。じゃあ指摘したところを直してみてもらえるかな？

荒井　分かりました！

──しばらくして……

荒井　上野さん。さっきのできました。

上野　うん。なるほど……。そうだね。これでOK！　じゃあ、今度はユーザー登録機能を実装して行こうか。今日はお疲れさま。

ちょっとした機能でもワナだらけ　知識は身を助く

　今回はログイン機能の実装において発生しがちな脆弱性についてみてきた。なお、題材にしている脆弱性診断実習用Webアプリ「BadTodo」には上で見た以外にも脆弱性や仕様上の問題が潜んでいる。例えば、BadTodoにはログイン試行回数に制限がないため、機械的に総当たりでパスワードを探り当てることも理論上は可能だ。

　徳丸さんによると「ログイン機能はどんなサイトにもあるわけで、ベストプラクティスがある程度決まっている」という。それに沿って実装すれば基本的な脆弱性は防げる。独自の工夫をしたい場合は情報セキュリティの専門家に相談したり、脆弱性診断を実施したりして問題がないか確認するのがいい。

　ただし、「後で脆弱性診断をすればいいや」と情報セキュリティについて考慮しないまま実装するのはリスクが大きい。チェックして深刻な問題があったと分かった場合、手戻りが多くなる可能性がある。脆弱性診断をする段階ではすでにリリーススケジュールが固まっており、直さないまま公開することになる……ということも現実にはあり得る。

　「開発者自身もセキュリティ知識を身に着けて、診断を頼む前に安全なものにしておくのが望ましいですね」（徳丸さん）

情報セキュリティ企業が“脆弱性だらけのWebアプリ”無償公開　実習用の題材に
EGセキュアソリューションズが、Webアプリケーションの脆弱性について学べる実習用アプリケーション「BadTodo」を無償公開した。同アプリは多くの脆弱性を含んでおり、実際に攻撃したりソースコードを確認して実践的に学習できる。
“そうはならんやろコード”はなぜ生まれるのか　セキュリティ専門家・徳丸氏に聞く「脆弱性だらけのWebアプリ」の背景
情報セキュリティ事案のニュースには読者から「そうはならないだろう」「それはダメだろう」という“ツッコミ”が入ることが多い。しかし、情報セキュリティの専門家・徳丸浩さんは「『これが現実なんですよ』と伝えることが大事」と語る。