【パスワード再設定の罠】リセットリンクから乗っ取る手口と対策｜CTF思考フレームワーク #03

こんにちは、アンペンです！

前回は、新規登録フォームで「すでに登録されています」と表示することで、第三者に会員であることが知られてしまう仕組みを見ました。

今回は、パスワードを忘れた人を助ける機能、パスワード再設定フォームを見ていきます。

パスワード再設定って、本人を助けるための機能だよね。攻撃に使われるってどういうこと？

「本人に届くはずの再設定用リンク」が、設計によっては本人以外でも使えてしまうことがあるんだ。

「パスワードを忘れた」ときのあの画面、誰でも一度は使ったことがありますよね。今日はあの何気ない画面を、“攻撃者の目”と“守る人の目”の両方からのぞいてみます。仕組みが分かると、ふだん使っているサービスが安全に作られているかどうかも、なんとなく見分けられるようになりますよ。

パスワード再設定は「助ける機能」だからこそ手がかりになる

パスワード再設定フォームは、パスワードを忘れた利用者が、メールアドレスを入力して再設定用のメールを受け取る画面です。

本人にとっては、「登録されていないメールアドレスです」と表示されれば、入力ミスに気づける親切な機能に見えます。

でも、その親切な表示は、#01のログイン画面・#02の登録フォームと同じパターンで、第三者に会員であることを知らせる手がかりになってしまいます。

ちょっと意外かもしれませんが、『パスワードを忘れた人を助ける』という一番やさしい機能こそ、実は一番おしゃべりになりやすい場所なんです。というのも、ここを使うのは“ログインできない人＝手元にメールアドレスしかない人”が前提。だからシステムはつい親切心で「そのアドレスは登録されていますよ／いませんよ」と教えたくなります。ところがその一言は、第三者にとってはそのまま会員名簿をチェックできる窓口になってしまうわけです。

図解：再設定リクエストの返事を比べてみよう

あれ、これって#02の登録フォームとそっくりだね。

そう。アカウントを扱う画面は、どこでも「便利な表示」と「漏れる情報」のバランスを考える必要があるんだ。

もちろん、登録の有無を隠すだけでこの機能が安全になるわけではありません。パスワード再設定には、ほかの画面にはない“もう一つの特徴”があります。それが、本人のメールに届く「再設定用リンク」の存在です。ここが甘いと、今度は情報漏れどころか、アカウントそのものを乗っ取られる入口になりかねません。順番に見ていきましょう。

もう一つの問題：再設定用リンクが「弱い」とどうなるか

パスワード再設定が他の画面と違うのは、本人に再設定用リンクがメールで送られてくることです。

このリンクには、本人だけが使えるはずの「鍵」のような文字列(トークン)が付いています。

ここで『トークンって結局なに？』と身構えなくて大丈夫です。要するに“その人専用の、一回かぎりの合言葉”だと思ってください。宅配ボックスに届く一時的な開錠番号をイメージすると近いかもしれません。その番号が短かったり、誰の分も同じ規則で作られていたりすると、関係ない人でも当てて開けられてしまいますよね。再設定リンクのトークンが弱い、というのは、まさにこれと同じ状況なんです。

弱いトークンの代表的なパターン

• 短すぎる：6桁の数字だけなど、順番に試せば当てられる長さ
• 規則的：連番、時刻ベース、ユーザーIDの組み合わせなど、推測できる作り
• 使い回せる：一度使ったトークンが、その後も有効なまま残る
• 期限が長すぎる：1ヶ月以上有効など、忘れた頃にも使える設計

これらが組み合わさると、本人ではない第三者が、推測した別のメールアドレスのリセットを試して、たまたま有効なトークンを当てる、ということが起こり得ます。

ここがこの回のいちばん大事なところ。よく考えると、攻撃者はあなたのパスワードを知る必要すらないんです。『弱い鍵』を見つけて当てさえすれば、堂々と正面から再設定できてしまう。つまりパスワードをどれだけ複雑にしても、鍵の配り方が甘ければ意味がない、ということ。だからこそ守る側は、パスワードそのもの以上に“鍵の作り方”に神経を使います。では実際、その鍵はどんな形をしているのか。自分の演習環境でのぞいてみましょう。

CTFでやってみよう：再設定の流れを観察する

実際にトークンを眺めてみると、『これは長くてランダムだから安心そうだな』とか『これは短くて連番っぽいな…』と、強さの感覚がなんとなくつかめてきます。理屈より先に、この肌感覚を持てることが大きな一歩。では、守る側はどんな鍵を、どんなふうに配ればいいのか。具体的なポイントを整理しておきましょう。

守る側なら、メッセージを統一しトークンを強くしよう

パスワード再設定は、本人を助けつつ、第三者に手がかりを与えない設計にする必要があります。

そのために大切なのが、画面の表示とトークンの作り方の両方を整えることです。

『128ビット相当の乱数』って急にむずかしい…それってどれくらいすごいの？

すごくざっくり言うと、“宇宙にある星の数よりずっと多い組み合わせ”くらいだよ。総当たりで当てようとしても、現実的な時間ではまず無理な桁なんだ。だから『長くてランダム』というだけで、それ自体が強力な守りになる。逆に6桁の数字だと100万通り——コンピュータには一瞬で当てられちゃうんだよ。

ここまでで『入口』の守りは見えてきました。でも実は、パスワードを変えた“後”にも落とし穴があります。せっかく鍵を新しくしても、古い鍵で開けっ放しのドアが残っていたら意味がない——そんな話です。

もう少し先の話：再設定後のセッションと「乗っ取り通知」

「便利」と「安全」の境目を、設計のたびに考えるんだね。

そうそう。守る側に立つと、「画面のひと言」も「リンクのひとかけら」も全部、設計の対象になるんだ。

まとめ：再設定機能は「鍵の作り方」までセットで設計する

今日いちばんの持ち帰りはシンプルです。『再設定は、鍵を作って・届けて・古い鍵を捨てるところまでで1セット』。このうちどれか一つでも雑になると、せっかくの親切機能が乗っ取りの近道に変わってしまいます。逆に言えば、この流れをていねいに設計できれば、利用者を助けながらしっかり守れる、ということ。便利と安全は、ちゃんと両立できるんです。

パスワード再設定は、ただ「パスワードを変える」だけの機能ではありません。鍵を作って届け、古い鍵を捨てるまでの一連の流れ全体を、安全に設計する必要があります。

次回は、誰もが毎日使う検索フォームを題材にします。「ただ検索するだけの入力欄」が、XSSやSQLiといった有名な攻撃の入口になる理由を、画面の見え方から見ていきましょう。

次に読みたい記事

参考資料