「うちのサイトは大丈夫？」プラグインとタグの悪用を防ぐ、CSPの賢い守り方
こんにちは。日々、システムの守りを固める最前線に立っていると、ふと「防犯」のことを考えます。セキュリティって、実は家を守るのと同じなんです。
今回は、Webサイトを運営するなら必ず知っておきたい「プラグインのハイジャック」と、「baseタグの悪用」という、ちょっと狡猾な攻撃手法と、それを防ぐための「CSP（Content Security Policy）」という魔法の盾について、一緒に見ていきましょう。
—
1. 泥棒は「玄関の鍵」だけでなく「屋根裏」も狙う
皆さんは家の玄関に頑丈な鍵をかけていても、勝手口や屋根裏の点検口が開いていたら不安ですよね。Webサイトも同じです。メインのプログラムをしっかり守っていても、「プラグイン」という古い窓や、「baseタグ」という隠し通路を悪用されると、あっという間に侵入されてしまいます。
プラグイン・ハイジャックとは？
昔はWebサイトでFlashなどの動画やゲームを動かすための「プラグイン」が主流でした。でも、今の時代、これらは攻撃者にとって「格好の隠れ家」なんです。もし攻撃者が悪意のあるプラグインをあなたのサイトに紛れ込ませたら、閲覧者のPCで勝手にプログラムを実行させられてしまいます。
baseタグの悪用って何？
HTMLには
—
2. 魔法の盾「CSP」で入り口を塞ごう
こうした攻撃を防ぐために開発されたのが、CSP（Content Security Policy）です。これは、Webサイトのヘッダー情報に「うちのサイトでは、こういう種類のファイルしか読み込まないし、ここ以外との通信は認めないよ！」と宣言する仕組みです。
今回特に重要なのが、以下の2つのディレクティブ（指示）です。
object-src 'none'
これは「プラグイン（object要素）の使用を一切禁止する」という宣言です。
現代のWebサイトで、Flashなどの古いプラグインが必要なケースはほぼありません。ですから、潔く「使わない！」と決めてしまうのが一番の防犯対策です。
base-uri 'self'
これは「ベースURL（baseタグ）の参照先は、自分のサイト内だけにしてね」という宣言です。
外部の怪しい場所を指定させないことで、サイト内のリンクが勝手に書き換えられるのを防ぎます。
—
3. 実践！CSPを設定してみよう
では、実際にどう設定すればいいのでしょうか？ Webサーバー（ApacheやNginxなど）や、アプリケーションのレスポンスヘッダーに、以下の設定を追加するだけです。
HTTPレスポンスヘッダーの例
Content-Security-Policy: default-src ‘self’; object-src ‘none’; base-uri ‘self’;
設定の意味を解説します：
default-src 'self': 基本的に、自分のサイト（自ドメイン）にあるものだけを信頼します。object-src 'none': プラグインの実行を完全に無効化します（これで泥棒の隠れ家を撤去完了です！）。base-uri 'self': baseタグの指定先を自分のサイト内に限定します（これで道路標識の書き換えを防げます！）。
—
4. 一歩ずつ、確実な守りを
「セキュリティ」と聞くと難しく感じるかもしれませんが、まずはこうして「不要なものは許可しない」「怪しいものはブロックする」という基本を積み重ねることが大切です。
今回のCSP設定は、Webサイトの安全性を高めるための「最強の基本装備」です。ぜひ、皆さんが開発しているサービスや、管理しているWebサイトの設定を確認してみてください。
もし、「設定したらサイトが動かなくなった！」という場合は、焦らずに一つずつ許可リストを増やしていくのがコツですよ。セキュリティ対策は、一度にすべてを変えるよりも、「守りながら、正しく動かす」というバランスが何より重要ですから。
皆さんの開発するWebサイトが、今日も明日も安全でありますように。応援しています！
コメント