クロスサイト・クッキング

クロスサイト・クッキングとは

クロスサイト・クッキング（Cross-site cooking）は、ウェブサイトを攻撃する際に、攻撃者がブラウザのクッキーを操作して、別のウェブサイトやサーバーのクッキー・ドメインに設定できるようにする、ブラウザクラッシャーの一種です。この攻撃手法は、悪意のあるサイトが、別のサイトのセッション識別子クッキーを定着させることで、セッション固定化攻撃を実行するために利用されます。

また、攻撃者がサーバーのセキュリティ脆弱性を把握している場合、クッキーを利用した攻撃が可能になることがあります。例えば、サーバーの脆弱性が管理者のパスワードを必要とする場合でも、クロスサイト・クッキングを利用することで、一般ユーザーを欺き、意図しない攻撃を実行させることが可能になります。

クロスサイト攻撃との類似性

クロスサイト・クッキングは、クロスサイトスクリプティング（XSS）、クロスサイトリクエストフォージェリ（CSRF）、Cross-site tracing、Cross-zone scriptingなど、異なるウェブサイト間でデータやコードを移動させる能力を持つ他のクロスサイト攻撃と概念的に類似しています。

これらの問題は、ウェブブラウザが複数の情報やアプリケーション、サイトのための共通プラットフォームであることに起因します。ウェブブラウザは、異なるサイト間で論理的なセキュリティ境界を維持することで、あるサイトが別のサイトを破壊したり、データを盗んだりすることを防いでいます。しかし、クロスサイト・クッキングのようなブラウザクラッシャーは、この論理的なセキュリティ境界を越えてデータの移動を可能にします。

クロスサイト・クッキングの起源

クロスサイト・クッキングという名称とその概念は、2006年にミハル・ザレウスキー氏によって提唱されました。この名前は、「クッキー」と「クロスサイト」を組み合わせたもので、サイト間でクッキーが設定される性質を表しています。

ザレウスキー氏の記事では、1998年5月にクッキー・ドメインに関する脆弱性をベンダーに報告したベンジャミン・フランツ氏の発見が言及されています。フランツ氏は、この脆弱性を「プライバシー保護」メカニズムを回避する方法として発表し、主に主要なブラウザで議論されました。

その後、ザレウスキー氏は、このバグが複数のブラウザで未解決のまま存在しており、クロスサイト・クッキングに悪用される可能性があると結論づけました。

ザレウスキー氏や他の専門家からは、「ベンダーはこの問題の修正を急いでいない」という指摘がなされています。

脚注

外部リンク

* Cross-Site Cooking article by Michal Zalewski: この記事では、クロスサイト・クッキングの概念、それを可能にする3つのバグについて詳しく解説しています。そのうちの一つは、ベンジャミン・フランツ氏が発見した古いバグです。

もう一度検索