クッキー中毒とは何ですか?

Cookie ポイズニング (セッション ハイジャックとも呼ばれる) は、攻撃者がサーバーに送り返された有効な Cookie を変更、偽造、ハイジャック、またはその他の方法で「ポイズニング」して、データを盗んだり、セキュリティを回避したりする攻撃戦略です。

コンピューターの世界では、Cookie とは、ユーザーの興味や身元情報など、Web サイトやユーザー セッションに固有のデータであり、ユーザーのブラウザーに作成され、保存されます。 ウェブサイトやサーバーは、Cookie を使用して、サイト上のどのページが最も多くのトラフィックを獲得しているかなどの使用傾向を追跡したり、ユーザーの過去の訪問に合わせてコンテンツを優先したり、オンライン ショッピング カート内のアイテムを追跡したり、個人情報を自動入力したりするなど、ユーザー エクスペリエンスをカスタマイズして合理化したりできます。

攻撃者は、Cookie がサーバーに戻る前にそれを傍受して、情報を抽出したり変更したりすることができます。 偽造 Cookie は、ユーザーになりすまして追加のユーザー データにアクセスする手段として、ゼロから作成されることもあります。  したがって、Cookie ポイズニングは、変更された (「ポイズニングされた」) Cookie だけでなく、有効な Cookie からデータを盗んだり、その他の悪意のある Cookie の使用を行うさまざまな方法を指すために使用されることが多いため、誤った名称です。

クッキーは認証や、ユーザーがアカウントにログインしているかどうかの追跡に使用されることが多く、不正アクセスに使用できる情報が含まれています。 また、ユーザーが入力した財務情報などのその他の機密データも含まれる場合があります。 クッキー ポイズニングは攻撃者にとって比較的容易であり、ポイズニングされたクッキーを使用して詐欺目的でユーザー ID を盗んだり、Web サーバーに不正アクセスしてさらなる悪用を行ったりすることができます。

安全に生成または送信されない Cookie (またはその他のセッション トークン) は、ハイジャックやポイズニングの危険にさらされます。 クロスサイト スクリプティング (XSS) はCookie を盗む一般的な方法ですが、パケット スニッフィングやブルート フォースなど、さまざまな方法を使用して Cookie に不正にアクセスする可能性があります。 また、Cookie ポイズニングは、Cookie に関連する多数の悪意のあるアクティビティを包括する用語であるため、Cookie ポイズニングのエクスプロイトは、中間者攻撃、セッション ハイジャック、セッション固定、偽造などとも正確に表現される可能性があります。 

慎重にアプリを開発すれば、Cookie に保存される機密データを制限したり、攻撃者がデータを抽出しにくくしたりできますが、Cookie の目的はユーザーや動作、またはその両方を識別することです。 つまり、アプリケーションは引き続きそれらを使用することになります。 Web アプリケーション ファイアウォール (WAF)によって提供される適切なWeb アプリケーション セキュリティとセッション管理は、識別データを保護し、Cookie ポイズニングを防ぐのに役立ちます。

F5 Advanced WAF は、完全なプロキシ データ検査、動作分析、機械学習を使用して、高度なセッション管理やSSL/TLSクッキー暗号化などの高度なアプリケーション セキュリティを提供します。 Web サーバーとの間のすべてのトラフィックを傍受することで、そのトラフィックを復号化し、サーバーから送信された情報と比較し、変更された Cookie がサーバーまたはアプリケーションに到達するのを防ぐことができます。