セッションハイジャック／ＣＳＲＦ／セッション・フィクセーション

事前知識

• セッション
  Ｗｅｂページでは、個々のページが独立しており、それをセッションといいます。原則として、あるＷｅｂページから次のＷｅｂページに移動すると、前に利用者が入力した情報を次ページに引き渡せません。
  これでは、オンラインショッピングでの「カートへ追加→内容確認→購入完了」のように複数のページにまたがる処理をするには不便です。
• クッキーと認証情報
  それを解決するために、前のページで得た情報を利用者パソコンに書込み、次のページでそれを読み込む手段を用います。その代表的な手段がクッキーです。Ｗｅｂサイトは、前のＷｅｂページ（セッション）で得た情報をクッキーとして利用者のパソコンに書込み、次のセッションで読み込みます。
  ＳＮＳなど会員制のサイトでは、会員名やパスワードをパソコン側に保管しておき、そのサイトにアクセスしたとき、あるいはログインしたときに、サイト側に自動的に送信して認証する仕組みなっています。その認証情報もクッキーのように、セッション間で引き継がれます。
  認証情報の基本情報は永久保存されますが、セッションをまたがる情報やクッキーは、ログオフしたとき、一連の操作が完了したときに消去されるのが通常です。
• セッションＩＤとセッション変数
  次のセッションが必要なクッキーを特定するために、クッキーを作成するセッションでクッキーに名前を付けます。それをセッションＩＤといいます。
  そして、セッションＩＤとひも付けてサーバー側に送られる変数のことをセッション変数といいます。

セッションハイジャック（セッション乗っ取り）

利用者が正規のＷｅｂサイトと更新しているとき、何らかの手段でそこで使われているセッションＩＤを得て、その利用者になりすましてＷｅｂサイトに割り込む手口です。
　例えば、利用者が銀行サイトに接続し、最初のページでパスワードや口座番号を入力し、その情報がクッキーなどに保管され、次のＷｅｂページで送金などの処理をしようとしているときにセッションＩＤを盗られて割り込まれると、攻撃者はパスワードや口座番号をを知らなくても、送金先や金額を変えられてしまいます。

これを防ぐには、利用者が銀行サイトの接続時間を短くすること、必要な処理が終わったら直ちにログアウトすることが必要です。
　システム側としては、Ｗｅｂ画面でログアウトを促す表示をすること、一定時間で自動的にログアウトする仕組みにすること、ＷｅｂサーバのセッションＩＤを確実に無効にして、その後同じセッションＩＤによるアクセスは受け付けないこと、Webブラウザ側のセッションＩＤを消去することが必要です。

これ以外に、クッキーやセッションＩＤを暗号にする、セッションＩＤをワンタイム化する、セッションにユーザー固有の情報を保存し検証する、最初の認証後にセッションＩＤを変更するなどの対策も必要です。

ＣＳＲＦ

ＣＳＲＦ（Cross Site Request Forgeries）（forgeryは偽造の意味）とは、利用者が感染したパソコンから正規のサイトを閲覧したとき、利用者が意図していない悪意のメッセージを含む情報を正規サイトへ強制的に送信する手口です。会員資格やクッキー情報などを悪用しているので、正規サイトで多様な操作ができてしまいます。

利用者が攻撃者サイトを閲覧するなどによりＣＳＲＦに感染すると、ＣＳＲＦはセッション変数に攻撃者による悪意の情報を付け加えます。
　ＣＳＲＦに感染した利用者パソコンから正規サイトにアクセスすると、利用者が意図していない情報を含むセッション変数が正規サイトに送られます。正規サイトは、正規の利用者からの情報だと認識しているので、悪意のある指示を実行してしまいます。
・正規サイトが銀行サイトや販売サイトだと、不正な取引をされてしまう。
・ＳＮＳなどで閲覧限定している自分のページを不特定多数に公開されてしまう。
・投稿サイトに第三者への脅迫、犯罪予告などを投稿されてしまう。
　（これにより、閲覧者が誤認逮捕され、社会問題になったことがあります）

セッション・フィクセーション

セッション・フィクセーション（Session Fixation）とは、攻撃者が生成したセッションＩＤを利用者に強制的に使わせることにより、ユーザーのセッション状態を乗っ取る手口です。

• 攻撃者は、あらかじめ正規サイトを閲覧して発行するクッキーのセッションＩＤを知っておく。
• 利用者のパソコンに、セッションＩＤを送り込む。
• 利用者が正規サイトにログオンすると、このセッションＩＤで正規サイトに交信する状態になる。
• このとき、攻撃者がそのセッションＩＤを用いて正規サイトにアクセスすると、正規サイトは利用者からのアクセスだと信じ込み、その処理を行う。

このようにして、攻撃者は利用者に成り代わって正規サイトを利用でき、利用者の個人情報の閲覧・変更、投稿などができてしまいます。
　ＣＳＲＦは、利用者を介して正規サイトを攻撃するのに対して、セッション・フィクセーションは攻撃者が自分で攻撃します。そのため、高度（深刻）な被害を与えることが可能になります。また、双方とも利用者がログオンしている間に攻撃することが多いのですが、特にセッション・フィクセーション攻撃はログオン中に限定されることが多いのです。

攻撃への対策

●利用者側の対策
・こまめにクッキーを調べて、不審なクッキーを削除する。
・ログインしてからログオフするまでの時間を短縮する。
・ログオン中に、他のサイトの閲覧などをしない。
などが必要ですが、現実的には面倒だし、抜本的な対策にはなりません。「注意はするがお手上げ」な状態です。

●正規サイト側の対策
クロスサイトスクリプティングは、攻撃スクリプトがブラウザ上で動くのに対して、ＣＳＲＦやセッション・フィクセーションではサーバ側で動作するのが特徴です。そのため、利用者側よりも正規サイト側の対策が重要になります。
・クッキーの発行や消去の工夫をする。
・セッションＩＤ以外に他者が推定困難な照合情報を加える。
・セッション変数の値の暗号化、ハッシュ値の併用をする。