【ログイン画面の攻撃者目線】何を狙う？どう守る？｜CTF思考フレームワーク #01

こんにちは、アンペンです！「はじめてのWebセキュリティ」シリーズの第1回はログイン画面編。CTF(シーティーエフ)という安全な演習環境を題材に、攻撃者がログイン画面の『どこを見るか』、そしてなぜ失敗メッセージのひと言が手がかりになるのかを、守る側の対策とセットで学びます。

「ログインに失敗しただけで、いったい何が漏れるの？」——そう思った人ほど、今日の話はきっと面白いはずです。むずかしい専門用語はできるだけ使いません。大切なのは、画面の“ちょっとした違い”に気づく目を持つこと。その目はそのまま、攻撃を見抜く力にも、安全な画面を作る力にもつながっていきます。気楽に読み進めてくださいね。

ログインに失敗しただけなら、情報は何も漏れてないよね？中に入れてないんだし。

それがね、失敗したときのメッセージだけで「そのIDは使われているかも」と分かってしまうことがあるんだ。中に入れなくても、『誰がいるか』が漏れる。これをユーザー名列挙と呼ぶよ。今日はその仕組みと、守り方を一緒に見ていこう。

ログイン画面は「入れるか」だけを見る場所ではない

ログイン画面は、IDとパスワードが正しければ中に入り、間違っていれば入れない画面です。だから普通は「成功したか、失敗したか」だけを気にします。でもセキュリティを学ぶときは、もう一つ見ます。それが失敗したときに画面が何を教えているかです。攻撃者がログイン画面で最初に観察するのは、次のような『反応の差』です。

• 失敗メッセージの文言:「パスワードが違います」と「ユーザーが見つかりません」を出し分けていないか
• HTTPステータス・移動先:存在するIDと存在しないIDで、応答コードやリダイレクト先が違わないか
• 応答時間:存在するIDだけパスワード照合で時間がかかり、時間差で判別できないか
• 他の入口との一貫性:新規登録・パスワードリセットでも同じ手がかりが出ていないか

ここで『そんな細かい言葉の違い、気にする人なんている？』と思うかもしれません。ところが攻撃者にとっては、この一文字レベルの差が“宝の地図”になります。彼らが本当に知りたいのは「どのIDが実在するか」だからです。ログイン画面は、中に入る前から“住人名簿”をチラ見せしてしまうことがある——まずはこの感覚をつかんでおきましょう。逆に言えば、ここさえ塞げば攻撃の出発点を一つ潰せる、ということでもあります。

なぜIDが分かるだけで危ないのか

ちょっとだけ攻撃者の頭の中をのぞいてみましょう。彼らはいきなりパスワードを破ろうとはしません。まず大量のメールアドレスやIDを用意して、ログイン画面に次々と入れていきます。そして返ってきた反応を「存在する」「存在しない」の2つに仕分けるんです。この“仕分け”が終わった時点で、狙う相手はぐっと絞り込まれます。あとは存在すると分かったIDにだけ、どこかで流出したパスワードを片っ端から試す——という流れ。つまり最初のひと言の差が、その後の攻撃の効率を何倍にも変えてしまうわけですね。だからこそ、入口で「存在する／しない」を悟らせない設計が効いてきます。

差は「言葉」だけに出るとは限らない

メッセージを同じ文言にそろえても、別のところで差が出ることがあります。たとえば、存在するIDだけパスワード照合の処理が走って応答が少し遅い、あるいは成功・失敗でリダイレクト先がわずかに違う、といったケースです。攻撃者はこうした小さな差も手がかりにします。だから守る側は『見える文言』だけでなく、裏側の応答もそろえる意識が必要です。

『オラクル』なんて言葉が出てくると、急にむずかしく感じるかもしれませんね。でも身構えなくて大丈夫。次の会話くらいのイメージで十分です。

「オラクル」って神様のお告げみたいでカッコいいけど、セキュリティだと結局なんのこと？

語源はまさに古代の『お告げ』なんだ。ここでは『質問を投げると、つい答えのヒントを漏らしてしまう窓口』のことだよ。ログイン画面が「そのIDはいません」と正直に答えてしまうのは、小さなお告げをしているのと同じ。だから守る側は、何を聞かれても“同じ顔”で返すのが大事なんだ。

CTFでやってみよう：表示と応答の差を見つける

この演習を実際にやってみると、たぶん『えっ、こんなにあっさり分かっちゃうの？』と驚くはずです。その驚きこそが大事。攻撃者目線を一度でも体験しておくと、守る側に回ったとき「どこを直せばいいか」が自然と見えてきます。では、その“直し方”を次にまとめておきましょう。

守る側：失敗時の応答をそろえる

「親切に詳しく教える」が、ログイン画面では逆効果になることもあるんだね。文言だけじゃなく時間までそろえるとは…！

そう、便利さと安全性のバランスを取るのが守る側の仕事なんだ。次回#02は新規登録フォーム編。「このメールアドレスは登録済みです」という親切な表示が、なぜ手がかりになるのかを一緒に見ていくよ。

まとめ：ログイン失敗時の「ひと言」に注目しよう

最後に、今日いちばん覚えてほしいことを。それは『親切すぎる画面は、ときに危ない』ということです。利用者にとっては分かりやすいエラーが理想ですが、こと“アカウントの存在”に関しては、わざとそっけなく「IDまたはパスワードが正しくありません」とだけ返すのが正解。これは不親切なのではなく、利用者みんなのアカウントを守るための“やさしい無口”なんですね。

ログイン画面は、ただ入力するだけの場所ではありません。ほんの少し表示や応答が違うだけでも、外から見える情報は変わります。次回は、ログインする前に使う新規登録フォームを見ていきましょう。

次に読みたい記事

参考資料