Intra-mart製品におけるセキュリティ対策の現状

2011年4月25日月曜日

アジェンダセキュリティ対策の現状
IMARTタグのエスケープ機能

2011年4月25日月曜日

セキュリティ対策の現状について■プロダクトデベロップメントグループ■ホシリョウ --------------------------------------->

2011年4月25日月曜日

はじめに
SaaS／Cloud環境でのintra-mart製品の利用の増加
セキュリティはその性質上、継続的な強化が必要である。
現在、intra-mart製品に関して脆弱性の再調査と対策を順次行っている。

※セキュリティに関してはファーストリリース時点で十分考慮している。

2011年4月25日月曜日

はじめに継続対応している脆弱性
Cross Site Scripting(以降XSSとする）

SQL Injection
HTTP Response Splitting
システムの秘密情報の漏えい
ファイルアップロード機能の不備
Cross Site Request Forgeries (CSRFとする)
2011年4月25日月曜日

はじめに
セキュリティに関しては、その性質上、完全な対応というものは存在しない。
記載のものに関しては、既知の対策による対応

今後、新たな攻撃 方法や手法、脆弱性が発覚した場合、都度その時点の最新バージョン、リビジョンを中心に対応を検討していく予定

2011年4月25日月曜日

iWP/iAF 7.xのュキセ

2011年4月25日月曜日

応対ィテリ

XSS対策スクリプト開発モデル＜IMART＞タグにエスケープ機能を追加
画面共通 IMARTタグライブラリ
画面デザイン共通 IMARTタグライブラリ!
上記2つ以外は順次対応予定

2011年4月25日月曜日

XSS対策スクリプト開発モデル

Ver.7.1.5で一部対応＜IMART＞タグにエスケープ機能を追加

Ver.7.2.3で一部対応

画面共通 IMARTタグライブラリ
画面デザイン共通 IMARTタグライブラリ!
上記2つ以外は順次対応予定

2011年4月25日月曜日

XSS対策スクリプト開発モデル

Ver.7.1.5で一部対応＜IMART＞タグにエスケープ機能を追加

Ver.7.2.3で一部対応

画面共通 IMARTタグライブラリ
画面デザイン共通 IMARTタグライブラリ!
上記2つ以外は順次対応予定

Ver. 7.2.3で対応
上記タグを使用して、ログイングループ管理者画面などの基盤側の画面について、脆弱性対応を行った。（基盤側の全ての画面ではない）
2011年4月25日月曜日

XSS
JavaEE開発モデル
ポータル画面
エラーページ
BPW画面

2011年4月25日月曜日

XSS
Ver.7.1.6 以降対応予定
JavaEE開発モデル
ポータル画面
エラーページ
BPW画面

2011年4月25日月曜日

Ver.7.2.3で対応

HTTP Response SplittingiWP(Resin)では、HTTPレスポンスヘッダの改ざんを防ぐ仕組みがな
い。

HTTPレスポンスヘッダやCookieを設定する際に、改行コードなど脆弱性に繋がる文字をサニタイズするFilterを提供

2011年4月25日月曜日

HTTP Response Splitting
Ver.7.1.5で対応
iWP(Resin)では、HTTPレスポンスヘッダの改ざんを防ぐ仕組みがな
い。

Ver.7.2.3で対応

HTTPレスポンスヘッダやCookieを設定する際に、改行コードなど脆弱性に繋がる文字をサニタイズするFilterを提供

2011年4月25日月曜日

システム情報の漏洩
iWPが提供しているHTTPステータスコード「500」のエラーページ
開発時の利用を目的としており、ページ内に発生した例外のスタックトレースが出力される。
スタックトレースに含まれる内容はシステムの秘密情報に当たる。
スタックトレースの出力処理を取り除いたエラーページを提供

2011年4月25日月曜日

システム情報の漏洩
Ver.7.1.5で対応
iWPが提供しているHTTPステータスコード「500」のエラーページ

Ver.7.2.3で対応

開発時の利用を目的としており、ページ内に発生した例外のスタックトレースが出力される。
スタックトレースに含まれる内容はシステムの秘密情報に当たる。
スタックトレースの出力処理を取り除いたエラーページを提供

2011年4月25日月曜日

ファイルアップロード機能の不備
リクエストパラメータを改変し、画像ファイルと見せかけてJavaScriptを記載したテキストファイルをアップロードすることで、任意のスクリプトを実行できる。
ファイルアップロードにチェック機能を追加（オプションでON/OFF可能）
アップロードされたファイルの拡張子が設定で許可されたものかチェック
許可されていない拡張子はエラー
アップロードされたファイルの内容をチェック
ファイルの内容と拡張子が一致しない場合はエラー
2011年4月25日月曜日

ファイルアップロード機能の不備
リクエストパラメータを改変し、画像ファイルと見せかけてVer.7.1.5で対応

JavaScriptを記載したテキストファイルをアップロードすることで、任意のスクリプトを実行できる。

Ver.7.2.3で対応

ファイルアップロードにチェック機能を追加（オプションでON/OFF可能）
アップロードされたファイルの拡張子が設定で許可されたものかチェック
許可されていない拡張子はエラー
アップロードされたファイルの内容をチェック
ファイルの内容と拡張子が一致しない場合はエラー
2011年4月25日月曜日

CSRF対策
Webサイトにスクリプトや自動転送(HTTPリダイレクト)を仕込むことによって、閲覧者に意図せず別のWebサイト上で何らかの操作(掲示板への書き込みなど)を行わせる攻撃手法。
e-Words より

2011年4月25日月曜日

CSRF対策
Ver.7.1.6
以降対応予定Webサイトにスクリプトや自動転送(HTTPリダイレクト)を仕込むことによって、閲覧者に意図せず別のWebサイト上でVer.7.2.5 以降対応予定

何らかの操作(掲示板への書き込みなど)を行わせる攻撃手法。

e-Words より

2011年4月25日月曜日

IM-Workflow
Ver.7.2
セキュ
リテ
ィ
対応

2011年4月25日月曜日のセキュリティ対応
XSS対策
SQL Injection対策
ディレクトリトラバーサル対策
攻撃のヒントを与える不要なコードの削除
HTMLコメント【作成者】などの削除
hidden改変対策
CSRF対策2011年4月25日月曜日

セキュリティ対応
XSS対策

Ver.7.2.4で対応

SQL Injection対策
ディレクトリトラバーサル対策
攻撃のヒントを与える不要なコードの削除
HTMLコメント【作成者】などの削除
hidden改変対策
CSRF対策2011年4月25日月曜日

hidden改変対策
ページ表示時に要求されたリクエストでアクセス権限があるかどうかを逐一チェックする。
逐一チェックできない項目については、キーがログイン毎に変化する暗号で暗号化を行ってから受け渡す。

2011年4月25日月曜日

CSRF対策
処理対象権限のチェック対象外のパラメータだけで情報参照を行っている画面
暗号化コード (非可逆暗号) と非暗号化コードの相互チェックを行う。
ログイングループID、ログインユーザIDを hidden パラメータとして渡さず都度セッションから取る。

2011年4月25日月曜日

Intranet
Start Pack のセキュリティ対応

2011年4月25日月曜日

セキュリティ対応
XSS対策
SQL Injection対策
ディレクトリトラバーサル対策など

2011年4月25日月曜日

セキュリティ対応
Ver.7.0.6で対応予定
XSS対策
SQL Injection対策
ディレクトリトラバーサル対策など

2011年4月25日月曜日

Ver.7.1.2で対応予定

続く
IMARTタグのエスケープ機能

2011年4月25日月曜日