# はじめに こんばんは、エンジニアのおうちでまったり、 青少部省ラジオのニューブルーです。 この番組は、エンジニアだからお伝えできることや、 響きになったことなど、楽しくITを学べるチャンネルです。 聞きに来てくださってありがとうございます。 はい、今日は今更聞けないIT用語シリーズになります。 世の中にあふれているIT用語ですとか、 英語のよくわからない略称、 難しいと思って避けてしまいがちな単語などなど、 この放送を聞いて、 皆さんがITというものをもっと身近に 感じてもらえれば嬉しいです。 また、本シリーズはハッシュタグがありますので、 そちらからこのシリーズの放送も聞いていただければと思っております。 はい、ということで、今日のお話に入る前に、 ちょっとお知らせをさせてください。 プレミアム放送をやっております。 来月2月からプレミアム放送の初月無料を開始しますので、 お試しで1ヶ月間入れる機能になってますので、 ぜひ登録いただいて、よかったらそのまま、 来月以降、3月以降登録いただければと思っております。 プレミアムの中では、2月から黙々会的なものを やろうと思っております。 プレミアムの方、限定の特典というか、 そういう形で、毎週土曜日か日曜日、 どこか1時間を黙々会という形で、 1時間、雑談なり、質問なり、相談なり、 何でも構わないので、アーカイブは残さないので、 その生放送、ライブだから何か聞きたいこととか、 そういうのがありましたら、ぜひ参加いただいて、 普通は黙々会なので、皆さんで何かやる、 個人でやりたいことなどを持ち寄って、 やっていただくというような会にしたいと思っております。 これがまず1つ目。もう1つ、私のLINEスタンプができました。 このチャプターにリンクを貼っておこうと思うので、 ハムスターが日常会話をするようなスタンプになってますので、 日常使いできますので、 ぜひ使っていただければと思います。 ということで、今更聞けないIT用語のほうに 入っていきたいと思います。 今日は全4回にわたってお届けしてきました、 脆弱性シリーズ、今日が最終回になります。 今までは悪い人が悪意のあるプログラムを 送り込んだりですとか、それによって表示させたりとか、 いわば悪い人のテクニックというか、 泥棒のテクニックといいますか、 そういうお話だったんですが、 今日はもっと根本的な問題といいますか、 鍵そのものに欠陥があったらどうなるのか、 みたいなお話をしたいと思っています。 前回の最後に次回のお予告ということで、 ホテルのすべての部屋の鍵が全く同じものだったら、 どこでも入れますよねっていう、 部屋番号間違って入っちゃうってことがありますよね、 みたいなお話をさせていただいたんですが、 そんな感じのお話になります。 ということで、本編のほうに入っていきたいと思います。 # 「認証・認可」を覚えていますか？ まず、お話をする前に、 認証・認可のお話、覚えていますか?ということで、 以前、この今さら聞かないIT用語シリーズで、 認証と認可のお話を2回に分けて1回ずつお話しさせていただきました。 この放送の概要欄にリンクを貼っておきますので、 まだ聞かれていない方は先に聞いていただいた方がいいのかなと思っております。 軽くお話しすると、認証は受付で本人確認をすることですね。 あなたは誰ですかと聞いたときに、 証明できるものを渡して証明するというのを認証と呼びます。 認可は入った、ログインした会場内でできることを決めるというか、 あなたは何をしていいのかという情報を与えるというか、 そういうのを認可と呼びますというのを この2つお話しさせていただきました。 この認証と認可の仕組みがちゃんと作られていないと、 泥棒が自由にできます。 先ほど言ったように、どんな部屋でも簡単に 入れるという状態が作れてしまいます。 というお話をしていきたいですが、 ウェブの業界でどういう鍵がちゃんと作られていないかというのを、 どういうことが起きるのかというと、 まずURLに皆さん、これをお聞きのあなたがネット通販で、 例えば今までどんなつ注文したかなという感じで、 注文履歴を見ているとしましょう。 そのときにブラウザのURLを見てください。 例の話なので例なんですけど、 URLのところに、例えばexample.com みたいな、そのサイトの名称があって、 その後ろに注文履歴なので、 オーダーみたいな感じの文字があって、 その最後に数値が並んでいる場合が あると仮定してください。 その数値のところが、例えば1005番とか という形のURLになっていました。 そうなると、それを見て、 私の注文番号は1005番なんだなというのが、 なんとなく想像できると思うんですよね。 もしここで、悪意のあると言ったらあれかもしれませんが、 ちょっと好奇心のある方というか、 私もこういうのを見ちゃうとすぐにやっちゃうんですが、 この1005という数字を1004に書き換えたら、 果たしてどうなるでしょうかというお話なんですよね。 ちゃんとしたシステムというか、 今のショッピングサイトとかは、 絶対こういうことはあり得ないんですけど、 正しいシステムだったら、 あなたは1005番の本人ですがという形で、 1004番というのでアクセスしているので、 1004番を見る人はとあるあの人という 情報を持っていますので、 その人と今見に来ている人が違うということになるので、 あなたは見る権限がありませんという感じで、 そういうエラー画面を表示するという形が 正しいシステムになってきます。 これを間違ったシステムというか、 不美のあるシステムというんですかね。 そんなシステムだった場合は、 1004番を見せてってきたから、 はい、1004番ですね、どうぞみたいな感じで、 もうすぐに注文履歴を返すという形をしてしまいます。 そうすると何を注文したのかとか、 もっと悪いとこだったら、 もう本当に注文した人の名前ですとか、 注文のお届け先とか、住所ですよね。 そういうのの情報がそのまんま返してしまう みたいなことが起きます。 これがその認証・認可の不美というか、 ログインという認証はできてるんですけど、 ちゃんとその人がそのデータを見ていいのかという、 先ほど言った認可のシステムですね。 それが認可のチェックがちゃんとできていないというか、 システムがサボってるというか。 そういうのがあると、このURLをちょっと悪いなる、 好奇心のある人が変えるだけで、 他の人の情報が丸見えになってしまうということが 起きるというのが今回のお話になります。 これって見せていいときもあるんですよね。 例えば、今、私のVoicyのチャンネル、 私のエンジニアのお家でまったり、 清掃・無償ラジオっていうのは、 URL、ブラウザでアクセスしていただくと、 voicy.jpの後ろにチャンネルっていうのがあって、 その後ろに数字が並んでます。 これ、さっきのオーダーの後ろに並んでた 数字10005って言ったんですけど、 それと同じような感じで、私の場合は 817826っていうIDというか番号が振られています。 これ、すべてのパーソナリティさんのチャンネルに 1位で振られた番号になるんですけど、 これを、例えば、最後の私の場合6なので、 5とかって変えてみましょう。 今、ちょっと変えてみると、 変えると別の方のチャンネルになったりします。 これは、そのチャンネルなので、 誰が見てもいいっていう感じになるので、 認証を通っていないに関わらず、 すべての方に見えるから、 すぐ別のチャンネルが表示される っていう形になるんですけど、 そんな感じで、認証認可のチェックをしなくていい URLも存在しますし、 今回のように注文履歴みたいな個人情報ですとか、 本当に見せてはいけないもの、 ちゃんと認証認可しないといけない画面については、 そこをちゃんと正しくチェックするっていう、 そういう仕組みが必要になってきます。 # なぜこんなことが起きるの？ なぜこんなことが起きるの?という話なんですが、 脆弱性をついた攻撃、悪意のある人の攻撃というよりかは、 今まで説明したのでだいたいわかっていると思うんですけど、 WebサービスなりWebサイトなり、そういうのを作っている、 作り手側の確認不足というか、知識不足というか、 そういうことがあって発生することがほとんどというか、 ほぼ全部かなと思っているんですけど、 認証だけしていれば、ログインさえしていれば、 表示してもいいだろうみたいな感じで作ってしまうと、 認可の部分を忘れて、 本当にこれによって個人情報まで出ちゃうということもあるので、 本当にこの認証・認可の仕組みとか、 今まで第1回目から3回目でお話しさせていただきました、 脆弱性関係に関しては、 ちゃんと知識を持って組み込まないといけない、 今、バイブコーディングで流行っているAIを使った生成の、 そのときにもちゃんと脆弱性を担保してくださいよっていう、 担保じゃないですね、 脆弱性をちゃんとないように作ってくださいよっていう指示を 与えてあげなければ、 大体はちゃんとできてるんですけど、 フレームワークとか使ってたら、 普通に使ってたら、 ちゃんとそのあたりの、今回説明しました3つの脆弱性に関しては、 大体対応している作りになっているので問題はないんですけど、 そのあたりはちゃんと確認しながら作っていく必要があるのかな、 というお話をさせていただいております。 # まとめ＆最後に まとめですね。認証と認可の不備という形で、 認証と認可の不備とはという形なんですが、 本人確認ですね。認証はしていても、認可の部分、 できることの制限という形で、 そういうことを忘れていたという状態のことを、 認証認可の不備という形になります。 高度な脆弱性をつくっていう、攻撃するっていうのは、 ちょっとした高度な技術というか知識がないとできないんですけど、 今回のようにURLをちょっとだけ変えてみるみたいな、 誰にでも興味がある人だったらできてしまう攻撃。 これも本当に攻撃じゃ攻撃なので、 あまりいろんなところでやるのは良くないんですけど、 ちょっとぐらいなら、いろんなところで数値が見つけたら 変えてみるみたいなのもやっていただければと思うんですけど、 あまり推奨はしないんですけど、 そういう簡単な数字を変えるだけで、 個人情報なりが漏れてしまうみたいな危険性があるので、 つくるときは注意しましょうという話です。 対策としてはなんですが、本当にシステムがデータを出す瞬間というか、 もう1個のリクエストが来たら、必ずログインをしているか、 認証と認可があるシステムに関しては、 1個のリクエストに対して認証認可を全てするっていう、 すごいしつこいくらいに聞きまくるっていうのが、 それが正しい手順というか、 ITの業界ではそれをしないといけないんですね。 1個のリクエスト、極端な話、1個のウェブサイトって、 1個の画面のURLじゃなくて、そこから1個の画面の中に 画像ファイルが大量にあったら、10個あったら10回のリクエストが流れるんですけど、 それに対しても1個1個ちゃんとチェックするみたいなのが、 このITの業界というか必要になってくるんですけど、 それがリアルであると、1個1個鍵がある、 扉があったらめっちゃめんどくさいですよね。 そんなこと、リアルだったらそんなことはないんですけど、 ITの業界では本当にそれぐらいしつこいくらいに確認するっていう、 作りにしていかないといけないというお話、 まとめの話になっています。 その後、シリーズの終わりについてというか、 終わりにという形でお話ししたいんですけど、 前4回に渡るこの脆弱性シリーズ、 いかがでしたでしょうかというお話なんですが、 1回目はSQLインジェクション、 倉庫の門番を騙すみたいなお話をさせていただきました。 2回目がクロスサイトスクリプティング、 掲示板にそういう悪い付箋を貼って、 予定しない操作をさせてしまうみたいな形の脆弱性でしたね。 3つ目がクロスサイトリクエストフォージェリ、 これがログインした状態だったら裏で、 そのログインしている情報を勝手に使って、 自動で注文したりとか、 そういうことをしてしまう脆弱性があるという お話をさせていただきました。 今回の認証認可の不備ってことで、隣の部屋の 鍵が開いてしまうみたいなお話をさせていただきました。 この4つ、どれも恐ろしい攻撃なんですけど、 エンジニアの方々は、 この4つだけじゃなくて、もうもっとあります。 大量に脆弱性ってあって、 毎年脆弱性のトップ10みたいなのを出している 団体があって、何だったかな。ちょっと待ってくださいね。 すいません。OWASPって書いてOWASPっていうものですけど、 Open Web Application Security Projectっていうところが出している、 ベスト10みたいなのが出てるんですけど、今流行りの、 脆弱性にトレンドってあるのつけるのが変な感じがするんですけど、 今流行っているトレンドの脆弱性はこれだ、みたいな ベスト10みたいなのが発表されていて、 それについては、それだけじゃないんですけど、 大体そのランキングを見ていると、 今回お話しさせていただいた3つぐらいは 大体入っているので、 このOWASP10には必ず対応してください、みたいな AIに投げるときには必ずそれを入れるとか、 そういうことの、今後AI使うときは 必要になってくる指示なのかなと思っております。 ということで、今日の今更聞けないIT用語シリーズ、 全4回について渡ってお話しさせていただきました。 脆弱性シリーズにお付き合いいただき、 ありがとうございました。 それでは、今日も適当にまったりお過ごしください。 ありがとうございました。 # おまけ：見直しておきたい防災対策 おまけです。デイリートークテーマです。今日のデイリートークテーマは見直しておきたい防災対策ってことで、はいみなさん防災対策されてますでしょうか。ぜひコメント欄に入って頂ければと嬉しいです。 で、まあ私何を防災対策やってるかなぁとちょっと今周りを見渡しながら、はい、どんどん考えながらいるんですが、 何でしょうね。やってるというか、キャンプ道具は防災対策にもなるっちゃなりますよね。テントですとか、目袋ですとか、ポータブル充電とか、ポータブル電源か、はい、とか、 あとは火を起こす系のもの、バーナーですとか、たけび台とか、ああいうのも全部、キャンプって外で過ごすためのものなので、キャンプイコール防災対策っていいのかみたいな感じがしますから、 あとはあれですよね、まあ非常食をちょっと必要かなっていう気はするんですよね。やっぱり、すぐに何か災害が起きてテントとか張って、料理とか火起こしをして、火をつけて、そういう料理をする道具もまだキャンプの道具として意識は大体はあるんですけど、 とはいえ食材がなければ何も食べれないので、そういう時に必要になってくる非常食というか、レトルト食品系ですとか、レトルト食品だったら湯を沸かせばできますし、とはいえ水がなければ湯を沸かせられないですよね。その辺も難しいですよね。 なのでやっぱりちゃんとした非常食って言えば、有名なかんぱんとか、開けてすぐ食べれるみたいな、ああいう非常食が必要になってくるのかなとは思うんですけど、全然準備できてないですよね。 本当にそれぐらいなんですよね。キャンプ用品ぐらいしか防災対策、何やってるかなって思い出した時に、それぐらいしかやってないなと思って、やっぱりしないといけないですよね、今後のことを考えたり。 今後のことというか、いろんなところで、日本全国いろんなところで大きな地震が最近発生している、今今日この頃というか最近のことなので、いつもっと大きな地震が身近で起こるかわからないというような状態になっているので、それに備えて、備えあること憂いなしでしたっけ。 あんまりこういう言葉だとか苦手なのであれなんですけど、備えることは大事だと思うので、慎重さがあるのに、慎重さ1位なのに、そういうところに備えるのはあまりちょっと考えることが苦手というか考えてない立ちなんですけど、そういうのがあってもなんとかなるだろうみたいな精神が慎重さなのかみたいな気はするんですが、 今ちょうどAmazonセールも始まったし、そういうのを見てもいいですよね、どこにつなげようかという話がわかってないですけど、そんな感じでちょっと防災グッズ見てみたいなと思います、という感じでまとまっていいのかな。 これね、でもね、防災についての詳しい人って、ボイッシーのパーソナリティさんでも防災関係の話されている方とかもいるので、そういうのを見るのも面白そうですよね。面白そうって言ったらちょっと失礼になったりするかもしれないですけど、そういう方の、そういう放送をちょっと探してみて、 というわけで今日は、あれですよね、デイリートークテーマの、あれがトップページ、アプリのトップにデイリートークテーマのリストが、今最近復活したようなので、ちょっと前全然表示されなかったんですけど、最近また復活してきて表示されるようになっているので、そこからちょっと気になる放送とか聞いてみようかなと思っております。 ということで、話になったのかわかんないですが、今日の放送は以上にさせていただきたいと思います。最後まで聞いていただきありがとうございました。