20080521-Ruby-on-Rails-Security

1. 2008-05-21(水); Apple Store Sapporo Ruby Sapporo Night vol.6 Rails 入門セキュリティ Ruby on Rails Security 日本Rubyの会島田浩二 Ruby札幌 snoozer.05@ruby-sapporo.org SHIMADA Koji; Nihon Ruby-no-kai; RubySapporo

2. Tell The Topic of Ruby, RubySapporo! Ruby札幌、Rubyの話しろ!

3. しまだこうじ http://iddy.jp/proﬁle/snoozer05 ✓ ふつうのフリーランス・プログラマ ✓ 日本Rubyの会 ✓ Ruby札幌運営 ✓ RubyKaigi スタッフ/実行委員 ✓ プログラミングの楽しさを共有したい ✓ 自分の知らないコトやヒトに出会いたい

4. どうぞよろしくお願いします

5. まとめ ✓ Railsは標準でさまざまなセキュリティ対策をサポートしている ✓ 重要なのはRailsによる対策のポイントを理解すること ✓ 用法・用量を守って正しくお使い下さい

6. 今日のゴール ✓ Railsアプリがセキュアかどうかを確認するための、いくつかの基本的なチェック項目について知る ✓ それぞれのチェック項目を満たすための作戦を知る

7. チェックリスト

8. チェックリスト 1. 見せなくてよい情報を公開していないか 2. 重要なモデル属性を保護できているか 3. コントローラメソッドが公開されていないか 4. 出力ページのエスケープ処理に漏れはないか 5. DBへ渡す入力のエスケープ処理に漏れはないか 6. 外部ページからの不正なリクエストをガードできているか

9. 一つずつ

11. チェック項目1 見せなくてよい情報を公開していないか

12. 見せなくてよい情報を公開していないか

16. 見せなくてよい情報を公開していないか 422ステータスのテンプレートがデフォルトで用意されているのは Rails2.0∼

17. 何が起きるか ✓ 攻撃者に攻撃方法を考えるヒントを与えてしまう ✓ フレームワークや固有のバージョンの脆弱性をつかれる可能性がある

18. 対策 ✓ 攻撃のヒントになる可能性のある情報は、極力表に出さない ✓ デフォルトのページなどをそのままにしない ✓ アクセス制御をきちんと

19. 対策 conﬁg/routes.rb ActionController::Routing:: Routes.draw do ¦map¦ … map.root :controller => "welcome" … end トップページが指定された場合のルーティング先を定義

20. 対策各種デフォルトのテンプレートをきちんと差し替える

21. 対策 httpd.conf … <DirectoryMatch "^/.*/.svn/"> ErrorDocument 403 /404.html Order allow,deny Deny from all Satisfy All </DirectoryMatch> … Webサーバでファイルのアクセスに関する適切な設定を行う

22. 見せなくてよい情報を公開していないか ✓ 攻撃のヒントになる可能性のある情報は、極力表に出さない ✓ デフォルトのページなどをそのままにしない ✓ ステータスページ等 ✓ アクセス制御をきちんと ✓ サーバの設定などをきちんと確認

25. チェック項目2 重要なモデル属性を保護できているか

26. 重要なモデル属性を保護できているか db/migrate/00X_create_users.rb create_table :users do ¦t¦ t.string :login t.string :name t.string :password t.integer :admin, :default => 0 end app/models/user.rb 制御に絡む属性 class Users < ActiveRecord::Base end

27. 重要なモデル属性を保護できているか db/migrate/00X_create_users.rb create_table :users do ¦t¦ t.string :login t.string :name t.string :password t.integer :admin, :default => 0 end app/models/user.rb 何のガードもしていない制御に絡む属性 class Users < ActiveRecord::Base end

28. 重要なモデル属性を保護できているか http://example.com/users/new

29. 重要なモデル属性を保護できているか http://example.com/users/new

30. 何が起きるか ✓ 攻撃者の視点 ✓ このフォームを使って何か攻撃できないか ✓ フィールドにありそうな属性でも追加してみるか ✓ ユーザ情報だったら管理者権限か ✓ とりあえずadminあたりから

31. 何が起きるかオリジナルのフォーム <form action="/users" method="post"> <input name="user[login]" type="text" /> <input name="user[name]" type="text" /> <input name="user[password]" type="text" /> <input name="commit" type="submit" value="Create" /> </form>

32. 何が起きるか改変されたフォーム <form action="/users" method="post"> <input name="user[login]" type="text" /> <input name="user[name]" type="text" /> <input name="user[password]" type="text" /> <input name="user[admin]" type="text" /> <input name="commit" type="submit" value="Create" /> </form>

33. 何が起きるか改変されたフォーム <form action="/users" method="post"> <input name="user[login]" type="text" /> フォームを改変されて使用されると <input name="user[name]" type="text" /> <input name="user[password]" type="text" /> 公開していない属性でも上書きされてしまう <input name="user[admin]" type="text" /> <input name="commit" type="submit" value="Create" /> </form>

34. 対策 ✓ 制御に絡む属性はきちんと保護する ✓ フォームからのリクエストで直で更新しない ✓ ARが提供している仕組みを利用する ✓ attr_protected, attr_accesible

35. 対策 attr_protectedのサンプル class Users < ActiveRecord::Base attr_protected :admin end 指定した属性は一括代入時には無視される attr_accesibleのサンプル class Users < ActiveRecord::Base attr_accesible :login, :name, :password end 指定した属性以外は一括代入時には無視される

36. 重要なモデル属性を保護できているか ✓ 制御に絡む属性はきちんと保護する ✓ フォームからのリクエストで直で更新しない ✓ ARが提供している仕組みを利用する ✓ attr_protected, attr_accesible ✓ 開発当初はattr_protectedを使用し、開発が進み制御に絡む属性が増えてきたら attr_accesibleへ切り替えるのが吉

39. チェック項目3 コントローラメソッドが公開されていないか

40. コントローラメソッドが公開されていないか app/controllers/users_controller.rb class UsersController < ApplicationController # 外部に公開しているアクション def activate mark_as_activate if valid_request end # 具体的にアクティベート化を行う処理 def mark_as_activate ... end publicメソッドとして定義してしまっている end

41. 何が起きるか ✓ 内部処理が外部からアクションとして呼べてしまう ✓ ブラウザ等から容易に実行できてしまう ✓ 悪意がなくても踏んでしまう危険性がある ✓ 一度でも呼ばれると、システムの整合性は保証できない

42. 対策 ✓ コントローラメソッドのアクセス制御をきちんと管理する ✓ アクションではないメソッドはpublic にしない ✓ アクセス制御の明示 ✓ private, protected

43. 対策 app/controllers/users_controller.rb class UsersController < ApplicationController def activate mark_as_activate if valid_request end private def mark_as_activate ... end end

44. コントローラメソッドが公開されていないか ✓ コントローラメソッドのアクセス制御をきちんと管理する ✓ アクションではないメソッドはpublic にしない ✓ アクセス制御の明示 ✓ private, protected

47. チェック項目4 出力ページのエスケープ処理に漏れはないか

48. 出力ページのエスケープ処理に漏れはないか app/views/users/show.erb.rhtml ... <p> <b>Name:<b> <%= @user.name %> </p> ... hメソッドによる、特殊文字のHTMLエンティティとしてのエスケープ処理が漏れている

49. 何が起きるか ✓ クロスサイト・スクリプティング攻撃（XSS） ✓ 攻撃者が埋め込んだ任意のスクリプトが出力ページ内に挿入されてしまう ✓ ページの訪問者のCookie情報が盗み取られる等、致命的な被害を引き起こす入り口

50. 対策 ✓ 出力ページのエスケープ処理について漏れがないことを確認する ✓ SafeERBプラグインを使用しエスケープ漏れを検出 ✓ sanitizeメソッドを使用しホワイトリスト形式で出力時にスクリプトを除去

51. 対策 ✓ SafeERB ✓ http://agilewebdevelopment.com/plugins/safe_erb ✓ taint機構を使ってエスケープ漏れをチェック ✓ エスケープ漏れがあると例外 ✓ SQLiteから取り出した値はtaintedではないので例外が出ないので注意→確認する場合は PostgresやMySQLで

52. 対策 ✓ sanitizeメソッド ✓ ホワイトリスト方式を使用し任意のタグを除去 app/views/users/show.erb.rhtml ... <p> <b>Name:<b> <%= sanitaize(@user.name) %> </p> ...

53. 出力ページのエスケープ処理に漏れはないか ✓ 出力ページのエスケープ処理について漏れがないことを確認する ✓ SafeERBプラグインを使用しエスケープ漏れを検出 ✓ sanitizeメソッドを使用しホワイトリスト形式で出力時にスクリプトを除去

56. チェック項目5 DBへ渡す入力のエスケープ処理に漏れはないか

57. DBへ渡す入力のエスケープ処理に漏れはないか app/controllers/user_controller.rb

58. DBへ渡す入力のエスケープ処理に漏れはないか app/controllers/user_controller.rb ユーザ入力をそのままSQLへ変換してしまっているためエスケープ処理が行われていない

59. DBへ渡す入力のエスケープ処理に漏れはないか app/controllers/user_controller.rb ユーザ入力をそのままSQLへ変換してしまっているためエスケープ処理が行われていない

60. 何が起きるか ✓ SQLインジェクション ✓ サーバ上で実行されるSQLを攻撃者が制御可能になってしまう ✓ データベースを不正操作され致命的な被害を引き起こす

61. 対策 ✓ SQLの組み立てにはバインド変数を使用しSQLのメタ文字をエスケープする ✓ ?プレースホルダの使用して値を指定 ✓ 名前付きバインド変数のハッシュを使用

62. 対策 ✓ プレースホルダの使用 User.find(:first, :conditions => [ name = ？ , params[:name]]) User.find(:all, :conditions => [ category IN (？) ,[1, 2, 3]])

63. 対策 ✓ 名前付きバインド変数の使用 User.find(:first, :name => params[:name], :password => params[:password]) User.find(:first, :conditions => [ name = :name , :name => params[:name]])

64. DBへ渡す入力のエスケープ処理に漏れはないか ✓ SQLの組み立てにはバインド変数を使用しSQLのメタ文字をエスケープする ✓ ?プレースホルダの使用して値を指定 ✓ 名前付きバインド変数のハッシュを使用

67. チェック項目7 外部ページからの不正なリクエストをガードできているか

68. 外部からの不正なリクエストをガードできているか app/views/blog/edit.rhtml <% form_for(@blog) do ¦f¦ %> ... <% end %> app/controllers/blogs_controller.rb class BlogsController < ApplicationController ... def update ... リクエスト処理に対して end 何もガードをかけていない ... end

69. 何が起きるか ✓ クロスサイトリクエストフォージ（CSRF） ✓ 攻撃者の誘導により、ユーザが外部ページから攻撃者の用意したリクエストを実行してしまう

70. 対策 ✓ リクエストの有効性を検証する ✓ Rails2.0からはデフォルトで対策の処理が入っている ✓ protect_from_forgery ✓ ApplicationControllerクラスで指定 ✓ Railsの生成するフォームと対で検証用のトークンを持ち、それらを比較することでリクエストの有効性を評価

71. 対策 ✓ protect_from_forgeryの使用 class ApplicationController < ActionController::Base protect_from_forgery end class BlogController < ApplicationController::Base protect_from_forgery :only => [:create,:update] end

72. 外部からの不正なリクエストをガードできているか ✓ リクエストの有効性を検証する ✓ Rails2.0からはデフォルトで対策の処理が入っている ✓ protect_from_forgery ✓ ApplicationControllerクラスで指定 ✓ Railsの生成するフォームと対で検証用のトークンを持ち、それらを比較することでリクエストの有効性を評価

75. 今日のゴール ✓ Railsアプリがセキュアかどうかを確認するための、いくつかの基本的なチェック項目について知る ✓ それぞれのチェック項目を満たすための作戦を知る

76. セキュリティについてもう少し知りたくなったら OSC2008-do Ruby/Rails セキュリティハンズオン（仮）開催日：2008年6月28日（土）場所：さっぽろ産業振興センター参加費：無料

77. セキュリティ以外について知りたくなったら Railsレシピブック高橋征義, 諸橋恭介（著）発売日：2008年5月31日出版社：ソフトバンククリエイティブ価格：2940円（税込）

78. まとめ ✓ Railsは標準でさまざまなセキュリティ対策をサポートしている ✓ 重要なのはRailsによる対策のポイントを理解すること ✓ 用法・用量を守って正しくお使い下さい

79. ご清聴ありがとうございました

20080521-Ruby-on-Rails-Security

Recommended

Recommended

More Related Content

Viewers also liked

Viewers also liked (17)

Similar to 20080521-Ruby-on-Rails-Security

Similar to 20080521-Ruby-on-Rails-Security (20)

More from Koji SHIMADA

More from Koji SHIMADA (20)

Recently uploaded

Recently uploaded (8)

20080521-Ruby-on-Rails-Security