[情報処理安全確保支援士]セッションハイジャック[無料講座・例題付き]

今回は情報処理安全確保支援士試験で問われる、セッションハイジャックについて解説します。

セッションハイジャック

セッションハイジャックとは、クライアントとサーバにおける正規のセッションに割り込む行為です。

セッションハイジャックの概要や対策について確認していきましょう。

セッションハイジャックの概要

攻撃者がセッションハイジャックに成功すると、サーバ・クライアントその両方になりすまします。成り済ました後は以下のような不正行為を働きます。

セッションハイジャックの種類

セッションハイジャックは主に、プロトコルの脆弱性やアプリケーションの脆弱性を突いて行われます。具体的なセッションハイジャックの種類を確認していきましょう。

TCPでのセッションハイジャック

TCPでは、コネクション確立時に双方のシーケンス番号が交換されます。コネクション確立後は発信者が送信データをオクテット単位で数え、値をシーケンス番号に加算して送ることで、受信者が正しくデータを受信していることを確認します。

TCPは通信の信頼性が高いデータ交換を実現できますが、攻撃者はこの仕組みを悪用してセッションハイジャックを行います。

TCPのセッションハイジャックでは、初期シーケンス番号の推測・パケットの盗聴によってシーケンス番号を突き止め、偽装パケットを送ることで相手になりすまします。

TCPは、初期シーケンス番号を推測されないようにするため、コネクションごとに乱数が用いられます。しかし古いOSを用いていると、乱数に規則があるため高い確率で推測されてしまう脆弱性があります。

この脆弱性を悪用し送信元IPアドレスを詐称し、UNIX環境のホスト上で「./rhosts」ファイルにechoコマンドで「++」を追加し、無条件でアクセスを可能とする攻撃が存在します。

IPスプーフィングはrcp・rloginなどのサービスが稼働している場合に飲み有効です。したがって、最近のインターネット環境で行われるケースはほぼありません。

UDPでのセッションハイジャック

UDPは、TCPのようなコネクションの確立手順がありません。したがってセッションハイジャックの成功率がTCPと比較して容易になります。

UDPではクライアントからのリクエストに対して、正規のサーバよりも先にレスポンスを返すことでセッションハイジャックを行います。

Webサーバとクライアント間のセッションハイジャック

Webサーバとセション管理の脆弱性を突いたセッションハイジャックもあります。

特にHTTPアクセスは、一つひとつのセッションが都度完結します。したがって、連続性や状態を管理することができません。

そのため、Webアプリケーション側で各セッションを管理するための識別情報を生成しURLやCookieに付帯させることでクライアントの識別や状態管理を行う必要があります。

攻撃者は、URL・Cookie・hiddenフィールドなどにセットされたセッション管理情報を推測したり盗聴したりすることで正規ユーザとWebサーバのセッションをハイジャックします。

認証サーバとクライアント間のセッションハイジャック

認証サーバに成りすましてクライアントからのアクセス要求を受け。セッションハイジャックを行うケースもあります。

認証プロセスでクライアント側がサーバの信頼性を確保できない場合、認証サーバのなりすましを見破れません。

偽装ARPによるセッションハイジャック

攻撃者が偽のARP応答パケットを送ることで、ARPキャッシュを書き換えセッションをハイジャックする攻撃もあります。

セッションフィクセーションの実行方法

セッションフィクセーションとは、Webアプリケーションのセッションハイジャックです。

すでに確立されたセッションを盗むのではなく、ターゲットユーザに対して攻撃者が生成したセッションIDを含む不正URLで意図的にセッションを確立させます。

セッションフィクセーションの具体的な流れは以下の通りです。

セッションハイジャックの検知方法と回復について

セッションハイジャックの検知方法・回復方法を押さえておきましょう。

検知・追跡

回復

セッションハイジャック・例題

実際に例題を解いて問題に慣れていきましょう。

問1

問2

セッションハイジャックについて・まとめ

今回はセッションハイジャックについて学習しました。

具体的な攻撃手法と、それに対する対策方法は必ず押さえておきましょう。

次回はDNSサーバへの攻撃について学習します。