Cookie Poisoningとは？

Cookie poisoning（セッションハイジャックとも呼ばれます）とは、攻撃者がサーバーに返送される本来は有効なCookieを改ざん、偽造、乗っ取り、またはその他の方法で「汚染」し、データの窃取やセキュリティの回避、あるいはその両方を行う攻撃手法です。

Cookie Poisoningとは

コンピューティングにおけるCookieとは、ユーザーの関心や識別情報などを含む、Webサイトとユーザーセッションに固有のデータであり、ユーザーのブラウザで作成、保存されます。WebサイトやサーバーはCookieを使用して、サイト内でアクセス数が最も多いページなどの利用傾向を追跡できます。また、過去の訪問履歴に沿ったコンテンツを優先的に表示したり、オンラインショッピングカート内の商品を記録したり、個人情報を自動入力したりすることで、ユーザー体験をカスタマイズし、効率化できます。

攻撃者は、Cookieがサーバーに返送される前に傍受し、Cookieから情報を抽出したり、内容を改ざんしたりできます。また、ユーザーになりすまして追加のユーザーデータにアクセスするために、偽造Cookieを一から作成することも可能です。そのため、「Cookieポイズニング」という名称は実態を正確に表しているとはいえません。この用語は、改ざん（「ポイズニング」）されたCookieだけでなく、有効なCookieからデータを窃取するさまざまな手法や、Cookieのその他の悪用を指す場合にもよく使われます。

Cookie Poisoningが重要な理由

Cookieは、認証やユーザーがアカウントにログインしているかどうかの追跡によく使用されるため、不正アクセスに悪用される可能性のある情報が含まれています。また、ユーザーが入力した財務情報など、その他の機密データが含まれる場合もあります。攻撃者にとってCookieポイズニングは比較的容易であり、改ざんしたCookieを使用して、詐欺を目的にユーザーのID情報を盗んだり、さらなる攻撃のためにWebサーバーへ不正アクセスしたりする可能性があります。

Cookie Poisoningの仕組み

安全に生成または送信されていないCookie（またはその他のセッショントークン）は、ハイジャックやポイズニングの被害を受ける可能性があります。クロスサイトスクリプティング（XSS）はCookieを窃取する一般的な手法ですが、パケットスニッフィングやブルートフォースなど、さまざまな手法によってCookieへの不正アクセスが行われる可能性があります。また、CookieポイズニングはCookieに関わるさまざまな悪意ある行為の総称であるため、Cookieポイズニングを悪用した攻撃は、中間者攻撃、セッションハイジャック、セッション固定攻撃、セッション偽造などと表現される場合もあります。

F5はCookieポイズニングをどのように防止するのか

慎重にアプリケーションを開発することで、Cookieに保存される機密データを制限したり、攻撃者によるデータの抽出を困難にしたりできます。しかし、Cookieの目的は、ユーザーや行動、またはその両方を識別することにあります。そのため、アプリケーションでは今後もCookieが使用されます。適切なWebアプリケーションセキュリティとセッション管理は、Webアプリケーションファイアウォール（WAF）によって提供される場合があり、識別情報の保護とCookieポイズニングへの防御に役立ちます。

The F5 Advanced WAFは、フルプロキシによるデータ検査、行動分析、機械学習を活用し、高度なセッション管理やSSL/TLS Cookie暗号化など、高度なアプリケーションセキュリティを提供します。Webサーバーとの間で送受信されるすべてのトラフィックを傍受して復号し、サーバーから送信された情報と照合することで、改ざんされたCookieがサーバーやアプリケーションに到達するのを防ぎます。