JP2010079431A - 情報漏洩防止プログラム - Google Patents

Abstract

【課題】 Ｗｅｂクライアントにおけるクロス・ドメイン・アクセスによりＷｅｂサーバから入手した情報が他のドメインに漏洩してしまうのを防止する。
【解決手段】 ＷｅｂクライアントがＷｅｂサーバから入手した情報をその入手元ドメインと組にして記憶しておき、ＷｅｂクライアントがＷｅｂサーバへアクセス要求する際にはそのアクセス要求メッセージにアクセス先ドメインとは異なるＷｅｂサーバから入手した情報が含まれているか調べ、含む場合にはクライアントから通信要求を遮断することを特徴とする。
【選択図】 図２

Description

本発明は、Ｗｅｂサーバと通信するＷｅｂクライアントにおいて情報漏洩を検知または防止する情報漏洩防止プログラムに関するものである。

Ａｊａｘ（Asynchronous JavaScript + XML）と呼ばれる技術を用いて、複数のＷｅｂサーバからダウンロードしたコンテンツやクライアント・サイド・スクリプトをＷｅｂクライアント上で連係動作させ表示させることが行われるようになってきた。
例えば、あるＷｅｂサーバのページに地図提供ＷｅｂサーバのＷｅｂサービスＡＰＩを呼び出すクライアント・サイド・スクリプトが埋め込まれているとする。ユーザ等の操作によりＷｅｂクライアントが前者のＷｅｂサーバのページにアクセスすると、Ｗｅｂクライアントがそのページに含まれるクライアント・サイド・スクリプトを実行し、地図提供ＷｅｂサーバのＷｅｂサービスＡＰＩを呼び出して地図をダウンロードしてＷｅｂクライアント画面内に同時に表示することができる。
なお、上記のような複数Ｗｅｂサーバへのアクセスのうち、特に異なるＷｅｂサイトをまたいでアクセスするものをクロス・ドメイン・アクセスと呼ぶ。
以上のようにＡｊａｘ技術を用いると複数Ｗｅｂサーバの連携動作を容易に達成できるが、情報漏洩等のセキュリティ上の問題も起き得る。例えばＷｅｂサイトＡのＷｅｂページがＷｅｂサイトＢにアクセスするクライアント・サイド・スクリプトを含む場合、ＷｅｂクライアントがＷｅｂサイトＢから読み込んだコンテンツがＷｅｂクライアントのユーザの同意無しにＷｅｂサイトＡに送られる危険がある。
特に、ＷｅｂサイトＢが個人情報等の機密情報を提供する場合、例えユーザへ認証を要求する場合でも既に認証済みの状態であれば、ユーザに気付かれずに機密情報がＷｅｂサイトＡに転送される恐れがある。このようなクロス・ドメイン・アクセスによるセキュリティ上の問題を予め防止するためにＳａｍｅ−Ｏｒｉｇｉｎポリシーが定められており、Ｗｅｂクライアントはクロス・ドメイン・アクセス（上記の例ではＷｅｂサイトＢへのアクセス）できない。

しかし、Ｓａｍｅ−Ｏｒｉｇｉｎポリシーはユーザの利便性を損なうため、迂回技術が幾つか開発されている。これら迂回技術の中には、Ｗｅｂクライアントからは依然としてクロス・ドメイン・アクセスとなるＳＣＲＩＰＴタグ（補足：ＪＳＯＮＰによるもの）またはＦｌａｓｈ（商標、crossdomain.xml指定によるもの）によるものが存在する。
なお、Ａｊａｘによるクロス・ドメイン・アクセス、Ｓａｍｅ−Ｏｒｉｇｉｎポリシーとその迂回技術については下記の非特許文献１〜３に詳しい。

福森大喜、"ここが危ない！Ｗｅｂ２．０のセキュリティ 第２回 Ｓａｍｅ−Ｏｒｉｇｉｎポリシーと迂回技術"、技術評論社、２００７年７月１１日、url=http://gihyo.jp/dev/serial/01/web20sec/0002 福森大喜、"ここが危ない！Ｗｅｂ２．０のセキュリティ 第３回 ＪＳＯＮＰでのクロスドメインアクセス"、技術評論社、２００７年７月２５日、url=http://gihyo.jp/dev/serial/01/web20sec/0003 福森大喜、"ここが危ない！Ｗｅｂ２．０のセキュリティ 第４回 Ｆｌａｓｈ，ＪＳＯＮでのクロスドメインアクセス"、技術評論社、２００７年８月８日、url=http://gihyo.jp/dev/serial/01/web20sec/0004

上記Ｓａｍｅ−Ｏｒｉｇｉｎポリシーの迂回技術により、クロス・ドメイン・アクセスによる情報漏洩の危険性が復活した。サーバ側での対策方法については非特許文献２，３に詳しいが、Ｗｅｂクライアントを利用するユーザはこれら対策が適切に実施されているか確認する方法がない。

本発明は上記事情を鑑みて行われたものであり、Ｗｅｂクライアントにおいてクロス・ドメイン・アクセスにより生じる情報漏洩を検知し、さらに防止するプログラムを提供することを目的とする。

前記目的を達成するため、請求項１記載のプログラムはサーバとクライアントとの間の通信データを監視し、クライアントからの情報漏洩を防止するプログラムであって、
第一のサーバからクライアントへの通信応答データを受け取るステップと、
第一のサーバのドメインを取得するステップと、
第一のサーバのドメインと通信応答データを組にして記憶するステップと、
クライアントから第二のサーバへの通信要求データを受け取るステップと、
第二のサーバのドメインを取得するステップと、
通信要求データに第一のサーバのドメインから受領した通信応答データの一部を含むか比較するステップと、
含む場合にはクライアントから第二のサーバへの通信要求を遮断するステップと、
をコンピュータに実行させることを特徴とする。
また、前記目的を達成するため、請求項２記載のプログラムは、前記第一のサーバとクライアントとの通信プロトコル及びクライアントと第二のサーバとの通信プロトコルがＨＴＴＰまたはＨＴＴＰＳであり、第一のサーバのドメインと所与のＭＩＭＥタイプである通信応答データを組にして記憶するステップとを有することを特徴とする。
また、前記目的を達成するため、請求項３記載のプログラムは、第一のサーバとクライアントとの通信プロトコル及びクライアントと第二のサーバとの通信プロトコルがＨＴＴＰまたはＨＴＴＰＳであり、第一のサーバのドメインと通信応答データに含まれるクッキーを組にして記憶するステップとを有することを特徴とする。

本発明によれば、Ｓａｍｅ−Ｏｒｉｇｉｎポリシーの迂回技術で引き起こされるクロス・ドメイン・アクセスで情報が漏洩することを検知し、防止することが可能となる。
さらに、記憶する通信応答データをそのＭＩＭＥタイプで制限可能になる。従って、画像ファイル等の大規模データを除外してテキストデータ等の小規模データだけを記憶することになり、データの記憶に必要な記録領域を小さくできる。
さらに、セッションＩＤの漏洩を防止し、セッションハイジャックを防止できる。

以下、図面を用いて本発明の実施形態を説明する。
図１は本発明の第一の実施形態におけるネットワーク構成の概要図である。
図１において、インターネット１０４に接続して相互に通信可能なＷｅｂサーバＡ１０１、ＷｅｂサーバＢ１０２、Ｗｅｂクライアント１０３は、ＣＰＵ、ＲＯＭ、ＲＡＭ、ハードディスクドライブ等の二次記憶装置、ネットワークと物理的接続するネットワーク・インタフェース・カード、キーボードやマウス等の入力装置、ディスプレイ等の出力装置とこれらを相互接続してデータを相互にやり取りするバス等の物理コンポーネントから構成されるコンピュータである。
ＲＯＭにはＢＩＯＳプログラムと呼ばれる前記入出力装置を制御するための基本的なソフトウェアが格納されている。二次記憶装置には、コンピュータのハードウェアの細かな仕様の違いを吸収し、入出力装置の操作やＲＯＭ、ＲＡＭ、二次記憶装置の管理機能、ネットワーク・インタフェース・カードを利用して通信を行う機能などを抽象化して提供するソフトウェアであるＯＳや、ＯＳが提供する抽象機能を利用してある目的を持った機能を提供するアプリケーションプログラムが格納されている。ＢＩＯＳプログラムや、二次記憶装置から読み出されてＲＡＭ上に一時的に置かれるＯＳやアプリケーションプログラムはＣＰＵにより実行される。

ＷｅｂサーバＡ１０１、ＷｅｂサーバＢ１０２、Ｗｅｂクライアント１０３は、所定の目的を達するために作成されたＢＩＯＳプログラム、ＯＳ、アプリケーションプログラム等のソフトウェアを実行する。
ＷｅｂサーバＡ１０１、ＷｅｂサーバＢ１０２上では、ＩＥＴＦ（Internet Engineering Task Force）が規格化したＨＴＴＰ（Hyper Text Transfer Protocol）またはＨＴＴＰＳ（HTTP over SSL）に準拠して通信を行うアプリケーションプログラムであるＷｅｂサーバソフトウェアが稼動するように構成されているものとする。これらＷｅｂサーバソフトウェアはＷｅｂクライアント１０３からの接続要求に対して、Ｗ３Ｃ（World Wide Web Consortium）が規格化したＨＴＭＬ（Hyper Text Markup Language）に準拠して記述されたＨＴＭＬ文書等を返す。

ＷｅｂサーバＡ１０１上で稼動するＷｅｂサーバソフトウェアは、所定の接続要求に対して所定のＨＴＭＬ文書を返し、また別の所定の接続要求に対して受信データを二次記憶装置に保存し、その結果を返すように構成されているものとする。
また、ＷｅｂサーバＢ１０２上で稼動するＷｅｂサーバソフトウェアはＷｅｂメール機能を提供しており、所定の接続要求に対しては利用者が登録した氏名とメールアドレスの組からなるアドレス帳を返すように構成されている。
ＷｅｂサーバＡ１０１とＷｅｂサーバＢ１０２は異なるドメインで動作しているものとする。
Ｗｅｂクライアント１０３上では、ＨＴＴＰに準拠した接続要求を行い、その応答に含まれるＨＴＭＬ文書等の通信データを解析してディスプレイに表示するＷｅｂクライアントソフトウェアと、本発明のＷｅｂ漏洩防止プログラムが稼動する。
Ｗｅｂクライアントソフトウェア及びＷｅｂ漏洩防止プログラムの詳細は図２以降の説明とともに示す。
なお、本発明の第一の実施形態におけるＯＳとして、Windows（商標）やLinux（商標）を例示可能であるが、これらに限るものではない。同様にＷｅｂサーバソフトウェアとして、Apache （商標）HTTP ServerやCosminexus（商標）を例示可能であるが、これらに限るものではない。さらにＷｅｂクライアントソフトウェアとして、Internet Explorer（商標）やFirefox（商標）を例示可能であるが、これらに限るものではない。

図２は、Ｗｅｂクライアント１０３上で動作するＷｅｂクライアントソフトウェア及びＷｅｂ漏洩防止プログラムの概要である。
図２内の各箱はソフトウェアやプログラムの機能ブロックを表し、矢印は機能ブロック間のデータや制御の流れを表す。
２０１〜２０４はＷｅｂクライアントソフトウェアを構成する主要な機能ブロックである。
通信インタフェース２０１は、ブラウザエンジン２０２からの指示に基づき、ＯＳから提供される通信機能を用いて通信プロトコルＨＴＴＰやＨＴＴＰＳに準拠したデータ通信をＷｅｂサーバＡ１０１、ＷｅｂサーバＢ１０２との間で行う。
ブラウザエンジン２０２は、Ｗｅｂクライアントソフトウェアの中核機能であり、(１）通信インタフェース２０１受信データを解析して、その送信元Ｗｅｂサーバのドメインや受信データのＭＩＭＥタイプを取得し、ＨＴＭＬ文書等を抽出する機能、（２）Ｗｅｂクライアント１０３が備える出力装置へ表示するためにＨＴＭＬ文書等を出力イメージに変換してユーザインタフェース２０３に渡す機能、（３）Ｗｅｂクライアント１０３が備える入力装置からユーザインタフェース２０３に与えられた指示を受け取り、ＨＴＭＬ文書等に指定されている処理（例えばハイパーリンクで指定されたリソースを取得要求する通信データの発行）に変換する機能、（４）ＨＴＭＬ文書等に含まれるクライアント・サイド・スクリプト（以下、スクリプトと略す）を切り出してスクリプト実行エンジン２０４に渡し、その実行結果を受け取る機能、（５）Ｗｅｂ漏洩防止プログラム２０５等、Ｗｅｂクライアントソフトウェア外部のプログラムと連係動作するための機能、などを備える。

ユーザインタフェース２０３は、ブラウザエンジン２０２から提供された表示イメージとＷｅｂクライアントソフトウェアに指示を与えるためのメニューやアイコンをディスプレイ等に表示し、Ｗｅｂクライアントソフトウェアの利用者がマウスやキーボード等の入力装置を用いて与えた指示をブラウザエンジン２０２に渡す。
スクリプト実行エンジン２０４は、ブラウザエンジン２０２から渡されたスクリプトを実行し、その結果を返す。
なお、以降の説明ではスクリプトの例としてJavaScript（商標）を用いるが、これに限定するものではない。

Ｗｅｂ漏洩防止プログラム２０５は、クロス・ドメイン・アクセスによるＷｅｂコンテンツの漏洩を防止するため、ドメイン取得部２０６、ＭＩＭＥタイプ取得部２０７、受信内容記憶部２０８、送信内容比較部２０９から構成される。これらが提供する機能については図３の処理手順を示しながら説明する。
なお、Ｗｅｂ漏洩防止プログラム２０５は、ブラウザエンジン２０２が通信インタフェース２０１に対してＵＲＬを指定してＨＴＭＬ文書等のリソースのダウンロード指示する直前に呼び出され、ダウンロード実行可否を含む処理結果を通知するとブラウザエンジン２０２がリソースダウンロード指示を実行するように構成されているものとする。
さらにＷｅｂ漏洩防止プログラム２０５は、ブラウザエンジン２０２が通信インタフェース２０１からダウンロードしたリソースを受領直後に呼び出され、処理終了を通知するとブラウザエンジン２０２がリソースの処理を開始するように構成されているものとする。

図３は、本発明の第一の実施形態におけるＷｅｂ漏洩防止プログラム２０５の処理手順を示すフローチャートである。
本処理手順は、ブラウザエンジン２０２がＨＴＭＬ文書やその文書内でダウンロード指定された画像ファイルやスクリプトファイル等の外部リソースファイルのダウンロードを通信インタフェース２０１に指示する直前にＷｅｂ漏洩防止プログラム２０５を呼び出すことで始まる。
ここでは、Ｗｅｂクライアントソフトウェアの利用者がＷｅｂクライアント１０３の備える入力装置を操作し、ユーザインタフェース２０３を介してブラウザエンジン２０２に対し、ＷｅｂサーバＡ１０１において公開されているＨＴＭＬ文書のＵＲＬ“http://www.attacker_site.com/index.html”を指定してダウンロード要求したことで本手順が始まったものとする。
まず、ドメイン取得部２０６はブラウザエンジン２０２に対してダウンロードしようとするリソースのドメイン“attacker_site.com”を取得する（ステップ３０１）。
次に、送信内容比較部２０９はブラウザエンジン２０２からダウンロード要求メッセージを取得し、その中に他ドメインからダウンロードしたリソースの全部または一部を含んでいるか調べる（ステップ３０２）。これまでにダウンロードしたリソースはそのダウンロード元ドメインと組にして、Ｗｅｂクライアント１０３のＲＡＭ上に構成された受信内容記憶部２０８にＷｅｂクライアントソフトウェアが終了時まで保存されている。
ここでは受信内容記憶部には何も保存されていないものとする。従って、送信内容比較部２０９はダウンロード実行許可を含む処理結果をブラウザエンジン２０２に返してステップ３０３に進む。

Ｗｅｂ漏洩防止プログラム２０５は、ブラウザエンジン２０２がリソースのダウンロードを完了して通知してくるのを待つ（ステップ３０３）。
次に、Ｗｅｂ漏洩防止プログラム２０５はブラウザエンジン２０２から呼び出されると、ＭＩＭＥタイプ取得部２０７において、ダウンロードしたリソースのＭＩＭＥタイプを取得し、スクリプトのＭＩＭＥタイプであるか調べる。
スクリプトのＭＩＭＥタイプには、“text/javascript”、“application/x-javascript”、“application/json”などあるが、これらに限るものではない（ステップ３０４）。
ブラウザエンジン２０２は、図４に示すＨＴＴＰ応答を受け取ったとすると、ダウンロードしたリソースのＭＩＭＥタイプは“text/html”であるから、Ｗｅｂ漏洩防止プログラム２０５は通信許可を返し（ステップ３０６）、本手順をひとまず終了する。
ここでブラウザエンジン２０２によりダウンロードされたＨＴＭＬ文書は、図５に示すスクリプトを含み、更にＨＴＭＬ文書のダウンロード完了直後に同スクリプト内のexecOnLoad関数を実行するように構成されているものとする。
ブラウザエンジン２０２は、同スクリプトをスクリプトエンジン２０４に渡して実行させる。

すると、図５の（１）に指示されたＵＲＬ「http://webmail.example.com/contact_list.js」のリソース取得要求がブラウザエンジン２０２に渡され（図５（２））、ブラウザエンジン２０２はＷｅｂ漏洩防止プログラム２０５に図３の処理手順を再び行わせる。
ドメイン取得部２０６はリソースダウンロード要求先ＵＲＬのドメイン“example.com”を取得し（ステップ３０１）、送信内容比較部２０９がそのダウンロード要求メッセージ内に受信内容記憶部２０８に保存しておいたダウンロードコンテンツが含まれているか調べる（ステップ３０２）。この時点でも受信内容記憶部２０８には何も保存されておらず、ステップ３０３、３０４と進む。
ここで、新たにＵＲＬで指定されたリソースはＷｅｂサーバＢ１０２から提供されたアドレス帳であり、ＩＥＴＦにおいてＲＦＣ４６２７で規定されたＪＳＯＮ記法に従い記述されているものとする（図６）。

図６において、２、３行目のnameキーとコロン（:）に続く文字列が氏名であり、emailキーとコロン（:）に続く文字列がその人の電子メールアドレスである。
ＭＩＭＥタイプ取得部２０７は、ダウンロードされたリソースのＭＩＭＥタイプをＨＴＴＰ応答（図７）から取得すると、“application/x-javascript”であるのでスクリプトと判断する（ステップ３０４）。すると、図６に示すリソースを受信内容記憶部２０８にそのダウンロード元ドメイン“example.com”と組にして保存する（ステップ３０５）。保存後の受信内容記憶部２０８を図８に示す。ここでは便宜上、表形式で示しているが、実際の保存形式はこれに限らない。
以上で、Ｗｅｂ漏洩防止プログラムは通信許可をブラウザエンジン２０２に通知し（ステップ３０６）、２回目の処理を終了する。

ここでブラウザエンジン２０２はダウンロード終了をスクリプトエンジン２０４に通知すると、スクリプトエンジン２０４は図５に示すスクリプトの実行を続け、その（３）に示すＵＲＬ“http://www.attacker_site.com/entry”へのリソース取得要求がブラウザエンジン２０２に再度渡される。ここでリソース取得要求には先のリソース取得要求で得たＨＴＴＰ応答（図７）をＰＯＳＴするよう指示されている。従って、このリソース要求メッセージは図９に示すものとなる。
続いてブラウザエンジン２０２はＷｅｂ漏洩防止プログラム２０５に図３の処理手順をもう１回行わせる。
ドメイン取得部２０６は、リソース取得要求先のドメイン“attacker_site.com”を取得し（ステップ３０１）、送信内容比較部２０９はリソース要求メッセージ（図９）と受信内容記憶部２０８に保存された内容を比較し、同メッセージが他ドメインから入手したコンテンツを含むか調べる（ステップ３０２）。
ここではドメイン“attacker_site.com”に送られるリソース要求メッセージに、ドメイン“example.com”から入手したコンテンツと同じ内容が含まれているため、通信不可を返し（ステップ３０７）、本手順を終了する。以上のようにしてＷｅｂ漏洩防止プログラムはクロス・ドメイン・アクセスによる情報漏洩を防いでいる。

ところで、上記第一の実施形態におけるＷｅｂ漏洩防止プログラム２０５は、ステップ３０４、３０５において、ブラウザエンジン２０２によりダウンロードされたリソースのＭＩＭＥタイプがスクリプトの場合のみ受信内容記憶部２０８に保存し、その漏洩の監視を行うように構成されていた。しかし、ＭＩＭＥタイプを限定せずに受信内容記憶部２０８に保存して漏洩を監視するように構成してもよい。これにより、あるドメインからダウンロードした全ての情報について、他のドメインへの漏洩を完全に防ぐことができる。

また、上記第一の実施形態におけるＷｅｂ漏洩防止プログラム２０５は、ステップ３０４、３０５においてブラウザエンジン２０２が受領したＨＴＴＰ応答ヘッダのSet-Cookieフィールドに設定されたクッキーの値をドメインと組にして受信内容記憶部２０８に保存し、その漏洩を監視するように構成してもよい。
これにより、あるドメインに属するＷｅｂサーバソフトウェアがＷｅｂクライアントソフトウェアの利用者をその認証後に一意に特定するために発行するセッションＩＤの漏洩を防ぐことができる。

さらに、上記第一の実施形態におけるＷｅｂ漏洩防止プログラム２０５は、ＷｅｂクライアントソフトウェアがＨＴＴＰまたはＨＴＴＰＳでリソース要求メッセージを送信するものとして説明したが、ＦＴＰなどＷｅｂクライアントソフトウェアが処理可能なプロトコルであれば本発明は他のプロトコルにも適用可能である。

本発明の第一の実施形態におけるネットワーク構成の概要図である。 本発明の第一の実施形態におけるＷｅｂクライアントソフトウェア及びＷｅｂ漏洩防止プログラムの構成の概要図である。 本発明の第一の実施形態におけるＷｅｂ漏洩防止プログラムの処理手順を示すフローチャートである。 本発明の第一の実施形態におけるＷｅｂサーバＡからのＨＴＴＰ応答の一例を示す図である。 本発明の第一の実施形態におけるＷｅｂサーバＡが所定の接続要求に対して返すＷｅｂページに含まれるスクリプトの一例を示す図である。 本発明の第一の実施形態におけるＷｅｂサーバＢが所定の接続要求に対して返すアドレス帳の一例を示す図である。 本発明の第一の実施形態におけるＷｅｂサーバＢからのＨＴＴＰ応答の一例を示す図である。 本発明の第一の実施形態における受信内容記憶部の保存内容の一例を示す図である。 本発明の第一の実施形態におけるＷｅｂクライアントが、スクリプトを実行したことによりＷｅｂサーバＡへ送られる接続要求の一例を示す図である。

符号の説明

１０１…ＷｅｂサーバＡ、
１０２…ＷｅｂサーバＢ、
１０３…Ｗｅｂクライアント、
１０４…インターネット、
２０１…通信インタフェース、
２０２…ブラウザエンジン、
２０３…ユーザインタフェース、
２０４…スクリプト実行エンジン、
２０５…Ｗｅｂ漏洩防止プログラム、
２０６…ドメイン取得部、
２０７…ＭＩＭＥタイプ取得部、
２０８…受信内容記憶部、
２０９…送信内容比較部。

Claims (3)

1. サーバとクライアントとの間の通信データをクライアントにおいて監視し、情報漏洩を防止するプログラムであって、
   第一のサーバからクライアントへの通信応答データを受け取るステップと、
   第一のサーバのドメインを取得するステップと、
   第一のサーバのドメインと通信応答データを組にして記憶するステップと、
   クライアントから第二のサーバへの通信要求データを受け取るステップと、
   第二のサーバのドメインを取得するステップと、
   通信要求データに第一のサーバのドメインから受領した通信応答データの一部を含むか比較するステップと、
   含む場合にはクライアントから第二のサーバへの通信要求を遮断するステップと、
   をコンピュータに実行させることを特徴とする情報漏洩防止プログラム。
2. 前記第一のサーバとクライアントとの通信プロトコル及びクライアントと第二のサーバとの通信プロトコルがＨＴＴＰまたはＨＴＴＰＳであり、第一のサーバのドメインと所与のＭＩＭＥタイプである通信応答データを組にして記憶するステップと、
   を有することを特徴とする請求項１に記載の情報漏洩防止プログラム。
3. 前記第一のサーバとクライアントとの通信プロトコル及びクライアントと第二のサーバとの通信プロトコルがＨＴＴＰまたはＨＴＴＰＳであり、第一のサーバのドメインと通信応答データに含まれるクッキーを組にして記憶するステップと、
   を有することを特徴とする請求項１に記載の情報漏洩防止プログラム。

Images