会員数が少ないログイン後の会員エリアならば、Webアプリケーション脆弱性対策は過敏にならずとも？

Question

会員数が少ないログイン後の会員エリアならば、Webアプリケーション脆弱性対策は過敏にならずとも良いのではと考えたのですが、妥当な考えでしょうか？


会員サイトを制作しようとしておりますが、内製にするか外部プラットフォームを使うか？で思案しております。

プログラミングできる人間はたくさんいるので内製力はあるのですが(私はプログラミングはできません)、ただ、Webプログラミングでないプログラマーばかりなので、Webの方は不慣れです。
よって、Webアプリケーションの脆弱性対策の知識がまるで無い状況です。

XSS(クロスサイト・スクリプティング)
CSRF(クロスサイトリクエストフォージェリ)
SQLインジェクション
OSコマンドインジェクション
HTTP ヘッダ・インジェクション
パス名パラメータの未チェック／ディレクトリ・トラバーサル
バッファーオーバーフロー

など、色々ありますよね。
このあたりのことを考えると、内製はやめて外部プラットフォームを利用するしかないのか、と思っていました。問題が起こっては大変なので。
Webアプリの脆弱性対策は日々新たな脆弱性が出てくるたびに対策を追加していかなければならないので大変そうで・・・・・

そういう中で気づいたのですが、Webアプリケーションの脆弱性を突く色んな方法がありますが、よくよく考えますと、会員エリアは会員しか入らないのだから、そんなに過敏に考えなくとも大丈夫なのではないか、と思い直したのです。

何せ会員数が少ないのです。
当初は10～30名程度、100名になるのもだいぶ時間がかかる感じですので。

会員しかもらえないログインID・パスワードでログインしたあとの会員エリアですから、ここの中の各入力フォームに悪いコードを入れる輩は会員か会員がID・パスワードを教えた第三者しかないわけで、本件のように会員数が極端に少ない場合なので、すぐ面が割れると感じる会員が悪いことをしづらいだろうと思ったのです。

質問ですが、

質問[1] 会員ログインページは非会員でも開けるので、このID・パスワードのinput textに対するWebアプリ脆弱性処置ができないことになる。
ここは会員だけ開くページでないため危険にさらされるわけだから、処置ができないと結局意味が無いでしょうか？


質問[2] ログイン後の会員エリアであっても、知識のあるクラッカー(悪いハッカー)からすればURLを知ることはお手の物であり、会員しか入れないエリアの入力フォームのWebアプリ脆弱性対策ができていないと、いくらログイン後のページであっても関係なくどんどん突かれてしまうのでしょうか？

以上です。
有識者の方の的確なお話を頂戴できればとてもありがたいです。
何卒宜しくお願いいたします。

t4t · Accepted Answer

＞質問[1] 会員ログインページは非会員でも開けるので、このID・パスワードのinput textに対するWebアプリ脆弱性処置ができないことになる。
＞ここは会員だけ開くページでないため危険にさらされるわけだから、処置ができないと結局意味が無いでしょうか？

ログインページへの攻撃は「会員ページへの直接的な侵入」だけとは限りません。
ホストＯＳの種類やバージョンや設定状態、またブラウザの設定にもよりますが、
全く脆弱性対策がされていないサイトの場合、ログインページを攻撃して
「正しいログインページによく似た偽物で実際はユーザ入力を別サイトに転送するページ」
を表示させるようにして、ユーザーが入力したＩＤとパスワードを盗み出すということは
それほど困難ではありません。
ですから、最低限、ログインページは攻撃への対処が必要だ、と思います。

＞質問[2] ログイン後の会員エリアであっても、知識のあるクラッカー(悪いハッカー)からすればURLを知ることはお手の物であり、
＞会員しか入れないエリアの入力フォームのWebアプリ脆弱性対策ができていないと、
＞いくらログイン後のページであっても関係なくどんどん突かれてしまうのでしょうか？

「会員しか入れない」というのが、「URLを会員しか知らない（表示されない）ハズ」で、実際にURLを
入力すれば表示できてしまうというような仕組みでしたら、ログイン後のページであっても比較的容易に
攻撃対象にできます。
また、まったく脆弱性対策されていないサイトの場合、入力エリアに正規会員が誤ってなにか入力した際、
結果として脆弱性が表面化してしまう場合もありますので、対策されることを強くお勧めします。

全体として、
セキュリティに関しては「これだけ対策すれば絶対安心」ということがないだけに、
「相手に、セキュリティを破るためにどれだけの手間とコストをかけさせるか」を考えることになります。
またそれは、自サイトのコンテンツにはどれくらいの価値があるのか、ということに影響されます。

会員向けのコンテンツとして、他人に見られると損失を被るような情報が含まれているのであれば、
脆弱性に対する処置がとられていないというのは万一の場合は責任を追及される恐れがあるかもしれません。

自サイトのコンテンツにあまり価値がないとご自身で評価なさっても、
脆弱性対策されていないサイトは、他サイトへの攻撃の足がかりにされることもありますので、
Web全体のことを考えればぜひ対策をしていただきたいところですが…。

コストや手間をかけて対策しても、まったくクラック対象にならないサイトもあって、
そのときは結果的に経済面で無駄ではあります。
ただ、クラックする対象になるかならないかは誰にもわかりませんから、
法人としてインターネットで会員サービスを行うサイトであれば、社会的な責任として、
セキュリティ対策はしておく必要があると思います。

HTMLやアプリケーションレベルでの脆弱性対策が困難な場合は、別の手段で対策する手もあります。
IPSecやPPTPなどの、比較的手軽なインターネットVPNを導入するというのもその一つです。
(会員のＩＴリテラシーにもよりますが…)

fifaile · Answer

要は管理者権限を奪われたら終わりなわけです。
したがって、会員ページを含め全ての公開リソースについてセキュリティが必要でしょう。
依然どこか省庁のHPが改ざんされるなどの事件がありましたが、
あれなんかは管理ページが公開されていないに関らず事件も起こりましたし。

会員数が少ないログイン後の会員エリアならば、Webアプリケーション脆弱性対策は過敏にならずとも？

＞質問[1] 会員ログインページは非会員でも開けるので、このID・パスワードのinput textに対するWebアプリ脆弱性処置ができないことになる。

この回答への補足

要は管理者権限を奪われたら終わりなわけです。

この回答への補足

関連するカテゴリからQ&Aを探す

デイリーランキングこのカテゴリの人気デイリーQ&Aランキング

マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング