プログラム解析とWebセキュリティ

西田誠幸教授

実はWebページにも同じような欠陥の恐れがあります。例えば、今皆さんが見ているページの上段には検索の「窓」がありますね。われわれがここに検索キーを入力して使う分には何も問題がないように見えるかもしれません。しかし、もしこのページにある種の欠陥があれば、悪意あるユーザは特殊な検索キーを指定することで、Webサイトを誤動作させることができるかもしれません。（実際にはこの検索窓には欠陥はありませんが。）誤動作にはいろんなパターンがあります。例えば、ログインページで誤動作させることで、別の誰かの振りをしてログインすることができてしまったり、Webサイトのページを勝手に書き換えたり、サイトに記録されている個人情報を抜き出したりといったことができることがあります。

このような問題の解決のため、私はWebサイトに潜む欠陥、セキュリティホールを見つける技術について研究しています。不正アクセスを試してみる方法は、攻撃者になったつもりでWebサイトに不正アクセスをしてみます。これは、自動販売機の欠陥を見つけるのに、さまざまな偽造通貨を使ってみるやり方とよく似ています。

一方、Webサイトの内部を詳しく見る方法は、自動販売機の設計書を分析して欠陥を見つけるやり方とよく似ています。もっとも、Webサイトの中にあるのは設計書ではなく、Webサイトのサーバコンピュータで動作するプログラムとデータです。ですので、このプログラムとデータが分析対象になります。

この２つのやり方ともにそうなのですが、人手で欠陥を見つけるのはとても大変です。そこで、欠陥を見つける手助けをするためのソフトウェアあります。不正アクセスを試みて欠陥を発見するソフトウェアを 「脆弱性検査ツール」「Vulnerability Scanner」などと呼びます。一方、Webサイトの内部を分析するソフトウェアのことを「静的解析ツール」などと呼びます。

「コンピュータ上で動作するWebサイトの欠陥をコンピュータに自身に調べさせる」という部分に面白さを感じつつ、日々研究を行っています。そして従来は正確に欠陥を見つけ出すことができなかったプログラムに対しても、ある程度正確に欠陥を見つけることができるように拡張しました。図１は、プログラムの中のデータ加工の様子を解析した結果を表しています。また図２は、プログラム解析の結果得られるデータ構造の１つです。この構造から、データベースへのアクセスにセキュリティホールがないかどうかを判定します。この方法を使って、現実のWebサイトのプログラムの検査を行ったところ、一目では見つけるのが難しい欠陥を見つけ出すことができました。Webサイトを作るためのプログラミング環境（Webアプリケーションフレームワークなどと呼ばれます）にはいろいろな種類があります。こういったフレームワークを工夫することで、Webサイトの中に欠陥が作りこまれにくくなるかもしれません。安全なWebサイトの開発を促すフレームワークの考案にも興味を持っています。