設問３ 悪意あるJSONP呼出しスクリプトについて、(1)～(3)に答えよ。
(2) 本文中の下線②における条件を、本文に即して、50字以内で述べよ。
公式解答例：悪意あるJSONP呼出しスクリプトを実行するブラウザが、会員サイトにログインした状態である場合(47文字)
解説
下線②及び図４抜粋
[セキュリティに関する検討]
Ａ社では、マッシュアップサービスを初めて導入することもあり、ターゲット型広告サービスの仕組みについて、セキュリティ専門家のＺ氏にレビューを受けた。すると、ポイント表示サービスの仕組みには、次に示すようにJSONP呼出しスクリプトを悪用する攻撃で会員の個人情報が漏えいする可能性があるとの指摘を受けた。
Ａ社のポイント表示サービスの仕組みの場合、【会員サイト】から送られる【JSONP型データ】が、会員の個人情報を含む。しかし、②ある条件が成立しているとき、悪意あるWebサイトにアクセスし、図４のように動作するJSONP呼出しスクリプトを【ブラウザ】が実行すると、【JSONP型データ】に含まれる会員の個人情報を奪われる可能性がある。
ステップ１)【会員サイト】にアクセスし、目的とする【JSONP型データ】を取得する。
ステップ２)【JSONP型データ】からの会員の個人情報を抽出して、悪意あるWebサイトに転送する。
図４ 悪意あるJSONP呼出しスクリプトの動作概要
下線②及び図４抜粋 ここまで
図４ 悪意あるJSONP呼出しスクリプトの動作概要を、図１に追加すると以下のようになります。
JSONPは、Same-Originポリシーを回避できる手段ですが、逆に言えば、悪意のある攻撃者もSame-Originポリシーを回避できます。Same-Originポリシーを回避できるということは、本問の「一般サイト」を攻撃して改ざんしなくても、上記の図のように悪意のあるサイトに誘導するだけで個人情報を抜き取ることができてしまうのです。
この、悪意のあるサイトからのアクセス対策が、「図５ JSONP呼出しスクリプトを悪用しようとする攻撃への一般的な対策」となります。
まとめると
- 悪意のあるサイトに誘導された利用者が
- 会員サイトにログインしていた場合
- JSONP呼出しスクリプトを実行されて
- 個人情報が抜き取られる
これを設問の「本文に即して」頭を捻ると公式の「悪意あるJSONP呼出しスクリプトを実行するブラウザが、会員サイトにログインした状態である場合(47文字)」となります。
管理人なら「JSONP呼出しスクリプトを実行する悪意あるサイトに、会員サイトにログインした利用者が誘導された場合(50文字)」でも正解にしたいです、いえしてください。
最終更新：2013年10月12日 13:03
