問1 APIセキュリティ

テーマ：APIセキュリティ

左右2分割表示：左側の問題文をスクロールしながら右側の設問に解答できます

長文事例本文

図表クリックで拡大

G社は，ヘルスケアサービス新興企業である。利用者が食事，体重などを入力して，そのデータを管理したり，健康リスクの判定や食事メニューのアドバイスを受けたりできるサービス（以下，サービスYという）を計画している。具体的には，クラウドサービス上にサービスY用のシステム（以下，Sシステムという）を構築して，G社が既に開発しているスマートフォン専用アプリケーションプログラム（以下，G社スマホアプリという）からアクセスする。Sシステムの要件を図1に示す。

 拡大
図1 Sシステムの要件（抜粋）

G社は，Sシステムの構築をITベンダーF社に委託した。F社との協議の結果，クラウドサービスプロバイダE社のクラウドサービス上にSシステムを構築する方針にした。

〔APIの設計〕
Sシステムには，将来的には他社が提供するスマートフォン専用アプリケーションプログラムからもアクセスすることを想定し，RESTful API方式のAPI（以下，SシステムのAPIをS-APIという）を用意する。RESTful APIの設計原則の一つにセッション管理を行わないという性質がある。この性質をaという。
E社が提供するクラウドサービスのサービス一覧を表1に，サービスYのシステム構成を図2に，S-API呼出し時の動作概要を図3に，S-APIの仕様を表2に，Sシステムの仕様を図4に，それぞれ示す。

 拡大
表1 E社が提供するクラウドサービスのサービス一覧（抜粋）

 拡大
図2 サービスYのシステム構成

 拡大
図3 S-API呼出し時の動作概要（抜粋）

 拡大
表2 S-APIの仕様（抜粋）

 拡大
図4 Sシステムの仕様（抜粋）

〔脆弱性診断の結果〕
Sシステムの構築が進み全ての機能を動作確認できたので，G社でSシステムのセキュリティを担当するRさんが，セキュリティベンダーであるU社に脆弱性診断（以下，診断という）を依頼した。U社による診断レポートを表3に示す。

 拡大
表3 U社による診断レポート（抜粋）

表3の項番1について，U社のセキュリティコンサルタントで情報処理安全確保支援士（登録セキスぺ）のZ氏は，次のように説明した。
・認証APIで，利用者ID “user01”での認証が成功した後，診断中に発行されたJWTのデコード結果は，表4のとおりであった。

 拡大
表4 JWTのデコード結果（抜粋）

・ここで，表4中の“RS256”の代わりに“NONE”を指定し，“user01”を他の利用者IDに改ざんしたJWTを送信したところ，改ざんしたJWTの検証が成功し，他の利用者へのなりすましができた。

項番2〜4についても説明を受けた後，G社は，表3の脆弱性を分析し，対策について，F社，U社を交えて検討した。
Rさんが取りまとめた脆弱性の分析と対策案を表5に示す。

 拡大
表5 脆弱性の分析と対策案

全ての対応が完了した後，試用モニターを対象に，サービスYの提供を開始した。

〔セキュリティの強化〕
G社は，試用モニターへのサービスYの提供期間中に，インシデント対応に必要なログの取得方法を検討することになり，F社と協議した。
F社によれば，ログ取得モジュールを実装するには時間が掛かるが，ログ取得モジュールを実装しなくても，サービスNを導入することによって，通信ログを取得できるという。
サービスNにおけるWAFルールの記述形式を図5に示す。

 拡大
図5 サービスNにおけるWAFルールの記述形式

Rさんは，サービスNのSシステムへの導入を責任者に提案し，承認を得た。サービスNの導入完了後，サービスYの提供を開始した。

〔新たな脆弱性への対応〕
数週間後，ライブラリHというオープンソースのライブラリに脆弱性Vという脆弱性があることが公表された。Rさんは，脆弱性Vについての関連情報を図6のように取りまとめた。

 拡大
図6 脆弱性Vについての関連情報（抜粋）

Rさんは，脆弱性Vへの対応方針をZ氏に相談した。Z氏は，F社の回答を待ってからの対応では遅いので，システムに影響を与えない検証コードをSシステムに対して実行し，外部から脆弱性Vを悪用できるか検証するよう提案した。Rさんは，Z氏の協力の下，図7に示す手順で検証を実施した。

 拡大
図7 Rさんが実施した検証手順

 拡大
図8 作成した検証コード

検証の結果，外部から脆弱性Vを悪用できることが確認できた。この結果を踏まえて，Rさんは，脆弱性Vを悪用する攻撃に備え，E社からWAFルールが提供されるまでの間，現在判明している悪用パターンに対応可能な暫定的なWAFルールで攻撃を遮断することにした。
Rさんが考えたWAFルールの案を表6に示す。

 拡大
表6 WAFルールの案

Rさんは，例えば“jnDI”のように大文字・小文字を入れ替える手口によって，ルール1と2それぞれで，案のパターンを回避する方法があることに気付いた。④このような手口にも対応できるように案を変更した。その後，変更後の案の確認をZ氏に依頼した。
Z氏は，⑤本番運用開始後の一定期間においては，WAFルールの動作には“検知”を設定して，サービスYが今までどおり利用できるかを確認することを助言した。Rさんは，Z氏の助言を踏まえて，WAFルールを設定した。
後日，Sシステムでは，ライブラリHを利用しているとの回答がF社からあった。また，E社からサービスNにおけるWAFルールが提供された。その後，脆弱性Vを修正したバージョンがライブラリHの公式Webサイトで配布され，Sシステム内のライブラリHのバージョンを最新にすることで，脆弱性Vへの対応が完了した。