Session IDに着目したSession Fixationに対する脆弱性検査手法

概要

論文の詳細を見る
近年,ウェブアプリケーションにおけるセッション管理上の脆弱性を突いた攻撃である Session Fixation が問題となっている.Session Fixation は攻撃者が用意したセッション ID を被害者に使わせることで,被害者のセッション状態を乗っ取る攻撃である.Session Fixation 対策として,ログイン前のセッション ID は用いず,ログイン後に新たなセッション ID を発行する手法が知られている.しかし,多くのウェブアプリケーションでは適切に実装されておらず,脆弱性が存在してしまっている.本論文では,ログイン前のセッション ID とログイン後のセッション ID を取得し,両者の値を比較することで,Session Fixation に対する脆弱性を検査する手法を提案する.提案手法はウェブアプリケーションの挙動をみて検査を行うため,既に稼働しているウェブアプリケーションを容易に検査することができる.実験では,自作のウェブアプリケーション及び実在のウェブアプリケーションに対して提案機構を用いることで Session Fixation に対する脆弱性を検出することができた.
2010-07-27