身近な例で理解するウェブサイトのセキュリティ
🔑 アクセス制御ってなんだろう？
ウェブサイトやアプリには、たくさんの情報や機能がありますよね。例えば、SNSなら自分の投稿や友達リスト、ネットショップなら購入履歴や登録した住所などです。
「アクセス制御」や「認可」というのは、「誰が」「どの情報や機能に」「アクセス（見たり、使ったり）できるか」を正しく管理する仕組みのことです。マンションの鍵や会社の入館証のように、入れる部屋や使える設備が決まっているイメージです 🏢。
- 一般ユーザーは自分のプロフィールだけ編集できる
- 管理者はお知らせを投稿したり、他のユーザーの設定を変更したりできる
- ログインしていない人は、公開されている情報しか見られない
このように、役割に応じてできることを制限するのがアクセス制御（認可）の役割です。
😨 認可不備（Broken Access Control）ってどんな状態？
認可不備（Broken Access Control）とは、このアクセス制御（認可）がうまく機能しておらず、本来アクセスできないはずの情報を見たり、使えないはずの機能を使えてしまう状態のことです。鍵が壊れていたり、誰でも入れるドアが開けっ放しになっているような危険な状態です 🔓。
この脆弱性は、ウェブサイトのセキュリティ問題の中でも非常に深刻で、OWASP（オワスプ）という専門家組織の調査でも、最も頻繁に見つかる危険な脆弱性の一つとして挙げられています。2021年の調査では、テストされたアプリケーションの94%で何らかのアクセス制御の不備が見つかったという報告もあります。
どんなことが起こるの？
認可不備があると、悪意のある人（攻撃者）は次のようなことができてしまう可能性があります。
- 他の人の個人情報（名前、住所、メールアドレスなど）を盗み見る 👀
- 他の人のアカウント設定を勝手に変更する ⚙️
- 他の人の投稿やデータを削除する 🗑️
- 管理者しか使えないはずの機能（ユーザー削除、商品価格変更など）を悪用する 👑
- ウェブサイト全体を改ざんしたり、停止させたりする 💥
これは、個人情報の漏洩や金銭的な被害、サービスの信頼失墜につながる、とても怖い問題です。
🕵️♀️ よくある認可不備の例
具体的に、どのような場合に認可不備が起こるのでしょうか？いくつか簡単な例を見てみましょう。（技術的な詳細は省きます）
| 認可不備の種類 | 簡単な説明 | 起こりうる問題 |
|---|---|---|
| URLの書き換え (パラメータ改ざん、強制ブラウジング) | ウェブサイトのアドレス（URL）の一部を書き換えることで、他の人の情報ページや管理画面にアクセスできてしまう。
例: https://example.com/user?id=123 を https://example.com/user?id=456 や https://example.com/admin に書き換える。 | 他のユーザーの情報漏洩、管理者権限の不正利用 |
| 権限昇格 (Vertical Privilege Escalation) | 一般ユーザーのアカウントでログインしているのに、管理者しか使えない機能を使えてしまう。 | 管理者権限の不正利用、全データの改ざん・削除 |
| 他のユーザーへのなりすまし (Horizontal Privilege Escalation) | 自分と同じ権限を持つ他のユーザーのアカウントにアクセスし、そのユーザーとして操作できてしまう。 | 他のユーザーの情報漏洩、なりすまし操作 |
| 機能に対するアクセス制御の欠落 | 本来は制限されるべき機能（例：削除機能、更新機能）に対して、誰でも実行できてしまう。 | データの不正な変更や削除 |
※上記はあくまで簡単な例であり、実際にはもっと複雑なケースもあります。
実際の事例
具体的なサービス名は挙げられませんが、過去には以下のような事例が報告されています。
- (2023年) ある学習支援アプリで、同じ地域に住む他のユーザーの個人情報（UUID付きプロファイル）が取得できてしまうAPIの脆弱性が発見されました。
- (2023年) 米国の通信会社T-Mobileで、APIの認可不備により約3700万件の顧客情報が不正アクセスされる事件が発生しました。
- オンラインストアで、URL内のショップIDを書き換えることで、他のショップの売上情報が見えてしまう。
- ファイル共有サービスで、URLを知っていれば誰でも他のユーザーのファイルにアクセスできてしまう。
このように、認可不備は身近なサービスでも発生しうる問題なのです。
🛡️ どうすれば防げるの？（開発者向け）
認可不備を防ぐためには、ウェブサイトやアプリを作る開発者が、アクセス制御を正しく設計・実装する必要があります。非エンジニアの方向けに、重要なポイントを簡単に紹介します。
基本的な考え方：常にサーバー側でチェック！ ✅
ユーザーが見ている画面（ブラウザ）だけでアクセスを制限するのではなく、必ずサーバー側（ウェブサイトの裏側）で「このユーザーは本当にこの操作をする権限があるか？」を毎回チェックすることが重要です。ブラウザ上の表示は簡単に書き換えられてしまう可能性があるため、信用してはいけません。
具体的な対策例
- デフォルトで拒否 (Deny by default): 基本的に全てのアクセスを禁止し、許可された操作だけを明示的に許可する。
- 最小権限の原則: ユーザーには、その役割に必要な最低限の権限だけを与える。
- 機能ごとのアクセスチェック: 全ての機能リクエストに対して、ユーザーの権限をサーバー側で検証する。
- 推測されにくいIDの使用: 他のユーザーの情報にアクセスするために使われるID（ユーザーIDなど）を、推測されにくい形式にする。（ただし、IDの推測困難性だけに頼るのは危険です）
- 徹底的なテスト: 様々な役割のユーザーでログインし、権限外の操作ができないかをテストする。
開発者は、これらの対策を組み合わせて、安全なアクセス制御を実現する必要があります。
まとめ
認可不備（Broken Access Control）は、ウェブサイトの「鍵のかけ忘れ」のようなもので、非常に危険な脆弱性です 😥。
この問題があると、個人情報が漏れたり、データが改ざんされたりする可能性があります。
安全なウェブサイトを作るためには、開発者がアクセス制御をしっかりと設計・実装し、常に「誰が」「何をする権限があるのか」を確認することが不可欠です 💪。
コメント