co3k.org

「情報セキュリティを身近に感じてほしい」

大げさに、そして大ざっぱに言ってしまえば、我々の仕事はインターネットをはじめとしたコンピューティングの世界をよりよいものにしていくことです。Treasure は「もの創り」を前提にしたカリキュラムとなっていますから、実際にそうした仕事の一端に触れることができます。

しかし残念なことに、よりよい世界を作れば作るほど、よりよいサービスを出せば出すほど、攻撃者からみた「旨み」も多くなっていくものです。自分がソフトウェアエンジニアとして世の中にいい影響をもたらそうと思うのであれば、情報セキュリティに関しても決して他人事ではいられません。

そうは言ってもセキュリティとは面倒なものです。できるだけ寄りつきたくないというのが本音であろうとは思います。これはもうそういうものだと素直に白状したうえで、それでも身近に感じてもらえるように心がけました。

まず、自分の周りで起きた情報セキュリティ事故についてディスカッションしてもらうことにしました。

こんなふわっとしたお題でディスカッションになるかなーなどとほんのり心配だったのですが、さすが情報化社会というか、最近の若者はデジタルにネイティブしていることもあって、大学内システムのあれこれであったり、自らのメールアカウントに不正アクセスがあった話など、非常に生々しいエピソードが聞こえてくることもありました。

それから更に世の中全体に視野を広げて、世間で起きた過去のセキュリティ事故に関して事例をたっぷり交えて解説しました (2005 年から 2014 年まで)。

ほかにも、個々の脆弱性解説の場面で実際に僕が見つけた脆弱性に関する話題を盛り込んだりと、「現実の話をしているんだよ」という点についてはできるだけ強調するように心がけました。

「『ふつうの』Web アプリケーションプログラマとしての知識を本質から理解してほしい」

Treasure は「もの創り」を主眼に置いたプログラムで、セキュリティエンジニアを育成することを意図してはいません [10] 。ではこの講義の役割とはなにか、といえば、あくまで security-aware なプログラマを育成することです。

では security-aware なプログラマとはなにか？　人それぞれ考え方があるでしょうが、僕は、あたりまえのことをあたりまえにできる、ふつうのプログラマだと思っています。

Web アプリケーションを開発するにあたって、テキストベースのプロトコルは切っても切れない関係です。同様にして、テキストベースのプロトコルにおいて、インジェクション系脆弱性の可能性もまた切っても切れない関係にあります。

京都での講義ではまず、この点について触れることにしました。

そのうえでエスケープという手法の存在について触れます。

ここには htmlspecialchars() も 0 OR 0 = 0; -- も出てきません。

基本的にテキストフォーマットは構文を持ち、文脈を持ち、そしてその文脈上意味のある表現を許すことで意図しない構文の破壊がおこなわれるというバグの解説でしかありません。単にこの種のバグにはこういう風に気をつけてちゃんとコーディングしていこうね、という話です。しかしこれこそが、この種のテキスト操作をするにあたってもっとも身につけておかなければいけない基本的な知識だと考えます。

入力をそのまま出力しないようにしましょう、 HTML に動的な値を埋め込むときには htmlspecialchars() を使いましょう、といった、ある種小手先とも言える知識を単に教えるだけというのは簡単です。教える方もそうですし、教わる方にとってもたぶんそうです。しかし世の中にはさまざまなテキストフォーマットが存在します。さまざまなコンテキストが存在します。そのフォーマットには確立されたエスケープ手法が存在しないかもしれません。というよりあなたが独自のフォーマットを作るかもしれません。いまはそのときはよくても場当たり的な知識だけでこの先プログラマとしてやっていくのは難しいでしょう。

インジェクション系の攻撃においては、こういうとき、構文の破壊を引き起こさないように、仕様に従った「ふつうの」プログラミングをしていれば防ぐことができます。だから僕はセキュリティのことについて教えているようでいて、実際にはよりよいプログラミング作法について教えていたも同然なのです。

そういう前提のもと、 XSS について理解するには、構文についての知識が必要ですし、

エスケープ手法に関する知識も必要です。

攻撃の結果、どういう影響が文章構造に及ぶかというのも知っておかなければなりません。

もちろんスクリプトの実行コンテキストに関する理解も必要です。

複数の文脈を含有する場合の処理の難しさについても知っておく必要があります。 Vue.js のデータバインディング構文を含む HTML モドキを PHP で動的に構築して出力するなんてもってのほかですね。

こういうことをひたすらにコツコツやろうとした結果、膨大な講義資料と、 Treasure 用講義資料は 136 ページ、 1 day インターン用講義資料は 186 ページという大ボリュームになってしまいました。はじめる前は不安で仕方がなかったのですが、実際にはなんとか受け止めてもらえたようで一安心です。

「自覚なしに法を犯さないようにしてあげたい」

唐突にポンと出てきたトピックですね。法？　Treasure で？　エンジニア向けインターンで？

この話題を取り上げたのは完全に僕のわがままです。学生にセキュリティを教えるにあたって、どこかで誰かが教えなければならないことだと前々から思っていたので公私を混同してみたという感じの経緯です。

Treasure では少なからずセキュリティ脆弱性に対する攻撃手法を伝えます。本当に基本的なものでしかありませんが、悲しいかな、現実問題として、そのくらいの知識であっても簡単に攻撃ができてしまうほどに、この世の中は脆弱なシステムで溢れています。

自分の得た知識がちゃんと現実でも機能するというのは嬉しいものです。「え、まさかこのサイトにこんな？」という脆弱性を見つけたとき、「これは大変なものを見つけてしまった」という感情と一緒に、一種の楽しさ、喜びのような場違いな感情がわき起こってしまうかもしれません。そういったサービスに対して、上から目線で問題を指摘してみたり、Twitter 等で晒して注目を浴びるというのもきっと楽しいことでしょう。もしくは、そのサイトのため、あるいはユーザーのため、もしかしたら自分の利益のためにその脆弱性に対する有効な攻撃をしてみたくなるようなことがあるかもしれません。

学生といってももう立派な大人です。大人としての、自らの確固たる信念と覚悟に基づいてそういう行動を取ることについて、たぶん僕には止めることができません。社会が止めてくれるに任せるしかありません。

けれども、残念ながら、「(そこまで) 悪いことだと知らなかった」がためにやり過ぎてしまうケースも散見されます。そういう事件を知ったとき、見かけたとき、「これはよくないことなんだよ」と周りの人が教えてくれていたらよかったのにと心を痛めずにはいられませんでした。

そういうことで、あまりにも心を痛めすぎて、とうとう自分が出張ってでも「これはよくないことなんだよ」という役割を担う機運だと思ってえいやと講義に組み入れてしまったという次第になります。まあ、なんというか、いい形で伝わっていれば幸いですというほかないですね。