10-1 認証システムへの攻撃と防護策 [PHPセキュリティー]

総当り攻撃とは、暗号や暗証番号などを解読する方法の1つで、可能な組み合わせをすべて試すやり方です。理論的にありうる全パターンを入力して解読します。

このような攻撃は、認証の時間や回数に制限を掛けるかけることで回避できます。認証の回数を制限したり、失敗の回数を制限することが防護策となります。

セッションを使用した単純なログイン回数のチェック

login1.php

login2.php

認証の時間や回数の制限は攻撃者に操作できないよう注意する必要があります。

リプレイ攻撃とは、正規ユーザーがログインする時に、ネットワーク上のデータを盗聴し、盗聴データを攻撃者が再生することで不正にシステムへ侵入する攻撃です。プレゼンテーション攻撃とも言われます。この攻撃の場合はネットワーク上の通信データを暗号化するだけでは防護できません。攻撃者は暗号化されたデータそのものを再生して認証サーバーへ送信して浸入を成功させます。

リプレイ攻撃を避けるためには、保護されたリソースへは一時的なアクセス権を提供するデータだけを使用すべきで、このデータが流出するのをできるだけ避ける必要があります。

リプレイ攻撃に対して有効な対策に「チャレンジ・レスポンス方式」があります。

チャレンジ・レスポンス方式では、認証サーバーがログイン毎にランダムなデータ「チャレンジ」をクライアントに送信します。「チャレンジ」を受信したクライアントは「チャレンジ」と「パスワード」を演算したデータ「レスポンス」を算出します。この「レスポンス」をサーバーへ送信します。サーバーではデータベースなどに登録されているクライアントの「パスワード」とクライアントへ送信した「チャレンジ」をクライアントと同じ演算方法で「レスポンス」を作成します。サーバーの「レスポンス」とクライアントの「レスポンス」を照合させ、一致すれば、正規のユーザーであり、パスワードが正しいと判断します。