top of page
10月20日

セッションフィクセーションとは？

セッションフィクセーションとは、攻撃者が特定のセッションIDを犠牲者に使わせ、ログイン後もそのセッションを継続させることでセッションを乗っ取る攻撃です。この攻撃は、アプリケーションがユーザーのログイン前後でセッションIDを再生成しない場合に発生します。攻撃者は、事前にセッションIDを生成しておき、ユーザーにそのIDを使用させることで、ログイン後も同じセッションIDでアクセスできる状態を作ります。


セッションの仕組み

セッションとは、サーバーとクライアント間の状態を維持するための仕組みであり、各ユーザーに固有のセッションIDが発行されます。セッションIDはCookieやURLパラメータを通じてクライアント側に保存され、リクエストごとに送信されます。これにより、サーバーはどのユーザーがどのリクエストを行っているかを識別します。

しかし、セッションIDがログイン前後で再生成されない場合、セッションフィクセーション攻撃に対して脆弱になります。



セッションフィクセーション攻撃の仕組み

セッションフィクセーション攻撃は、攻撃者がユーザーに特定のセッションIDを使わせ、その後ログインさせることで発生します。攻撃者が事前にセッションIDを設定するため、ユーザーがログイン後も同じセッションIDを使い続けることになります。


攻撃の流れ

攻撃者がセッションIDを生成

攻撃者は、アプリケーションのログインページにアクセスし、セッションIDを取得します。このセッションIDは、通常のユーザーと同じようにサーバーから発行されます。


ユーザーにセッションIDを固定

攻撃者は、ユーザーがそのセッションIDを使用するように仕向けます。これには、URLにセッションIDを埋め込んだり、JavaScriptを使ってCookieにセッションIDをセットしたりする方法が使われます。

https://example.com/login?session_id=abc123

ユーザーがログイン

ユーザーが攻撃者の指定したセッションIDでログインすると、サーバーはそのセッションIDを維持したままユーザーを認証します。


攻撃者がセッションを乗っ取る

ユーザーがログインしても、セッションIDは攻撃者が指定したままなので、攻撃者はそのセッションIDを使ってユーザーのアカウントにアクセスすることができます。



セッションフィクセーション攻撃のリスク

セッションフィクセーション攻撃が成功すると、攻撃者はユーザーのアカウントに不正アクセスできるようになります。この攻撃は、以下のようなリスクをもたらします。

1. アカウントの乗っ取り

攻撃者は、被害者になりすましてアカウントにログインし、個人情報の閲覧、変更、不正な操作を行うことができます。

2. 機密情報の漏洩

攻撃者がユーザーのセッションを乗っ取ることで、ユーザーの個人情報や機密データ（クレジットカード情報、住所、メールアドレスなど）が漏洩する危険性があります。

3. 不正な操作の実行

攻撃者は、乗っ取ったセッションを利用して、アカウント内で不正な操作（注文のキャンセル、金銭の送金など）を実行することができます。

セッションフィクセーションの防止策

セッションフィクセーション攻撃を防ぐためには、いくつかの基本的なセキュリティ対策を講じる必要があります。以下は、効果的な防止策です。

1. ログイン後のセッションID再生成

最も効果的な防止策は、ユーザーがログインした直後にセッションIDを再生成することです。これにより、攻撃者が事前に設定したセッションIDが無効化され、ユーザーには新しいセッションIDが割り当てられます。

例：PHPでのセッションID再生成

session_regenerate_id(true); // ログイン後にセッションIDを再生成

2. Cookie属性の適切な設定

Cookieを使用してセッションIDを管理している場合、以下のセキュリティ属性を適切に設定することで、攻撃のリスクを低減できます。

  • HttpOnly：CookieにアクセスできるのはHTTPリクエストのみで、JavaScriptからアクセスできないようにします。

  • Secure：HTTPS通信時のみCookieを送信し、セッションIDが盗まれるリスクを減らします。

  • SameSite：CSRF攻撃を防ぐため、クロスサイトからのリクエストではCookieを送信しないように設定します。

Set-Cookie: session_id=abc123; HttpOnly; Secure; SameSite=Strict

3. URLでのセッションIDの使用を避ける

セッションIDをURLに含めると、攻撃者がそのIDを容易に取得できるため、URLパラメータでのセッション管理は避けるべきです。代わりに、Cookieを使用してセッションIDを管理します。

4. セッションタイムアウトの設定

セッションに有効期限を設定し、一定時間が経過したら自動的にセッションを終了するようにします。これにより、セッションの長期間の不正利用を防ぐことができます。



まとめ

セッションフィクセーション攻撃は、ユーザーのセッションIDを固定し、そのセッションを不正に乗っ取る攻撃手法です。セッションIDがログイン前後で再生成されない場合、この攻撃のリスクが高まります。セッションフィクセーションを防ぐためには、ログイン後にセッションIDを再生成すること、Cookie属性を適切に設定すること、セッションIDをURLに含めないことなど、基本的なセキュリティ対策を実施することが重要です。

セキュリティ対策を徹底し、ユーザーのセッションを安全に保護することで、不正アクセスからシステムを守りましょう。

bottom of page