「ヘッダーに混ぜるな危険！」——HTTPヘッダーインジェクションを、家の鍵の仕組みで理解しよう
こんにちは！セキュリティの世界へようこそ。
システム開発の現場にいると、「HTTPヘッダー」という言葉を耳にすることがあるかもしれません。普段は黒子の役割ですが、実はここを悪用されると、あなたのWebサイトが「偽物」にすり替えられたり、ユーザーが知らないうちに悪いサイトへ飛ばされたりする恐ろしい事態を招きます。
今日は、初心者の方でも直感的に理解できるよう、HTTPヘッダーインジェクションという攻撃について、身近な「鍵とドア」の話を交えながら、泥臭い現場の視点で解説していきますね。
—
1. HTTPヘッダーって何だろう？「手紙の封筒」で考えてみる
Webサイトの通信は、たとえるなら「手紙のやり取り」です。
ユーザーが「このページが見たい！」とリクエストを送ると、サーバーは「はい、どうぞ」とページを返します。このとき、本文（HTMLなど）が「手紙の中身」なら、HTTPヘッダーは「封筒」です。
封筒には「宛先はここですよ」「中身は日本語で書かれていますよ」「キャッシュ（保存）していいですよ」といった、配送に必要な情報が書かれていますよね。
HTTPヘッダーインジェクションとは、「封筒の宛先や仕様欄に、勝手に余計な書き込みをされ、配送業者（ブラウザ）が混乱させられる攻撃」のことを指します。
—
2. 攻撃者はどこを狙うのか？「勝手な伝言板」の恐怖
攻撃者は、Webサイトが「ユーザーが入力した内容」をそのままヘッダーに書き込んでしまう場所を狙います。
例えば、「ようこそ！〇〇さん！」と表示するサイトで、URLのパラメータに名前を入れるとします。もし、この名前がチェックされずにヘッダーに入ってしまうと、攻撃者はこんな細工をします。
- 「改行コード（\r\n）」を混ぜる： 封筒に無理やり改行を入れ、その下に「本来ないはずの指示」を書き加える。
- 結果： ブラウザは「あ、これ以上は別の命令だな」と勘違いし、攻撃者が用意した偽のCookieを保存させられたり、全く別のサイトに転送（リダイレクト）させられたりします。
これを専門用語で「HTTPレスポンス分割攻撃」と呼びますが、要は「家の表札に『この家は空き巣歓迎です』と勝手に書かれるようなもの」なんです。
—
3. 一歩ずつ対策を学んでいきましょう！
対策の基本は、「ユーザーからの入力は、絶対に信用しない」という鉄則です。
対策①：ユーザー入力をそのままヘッダーに使わない
これが一番の特効薬です。どうしても必要な場合を除き、ユーザーの入力をヘッダー（LocationやSet-Cookieなど）に直接含めるのは避けてください。
対策②：バリデーション（検閲）を行う
どうしても入力値を使わなければならない時は、厳しい門番を置きましょう。「余計な記号（改行コードなど）は入っていないか？」をチェックします。
【悪い例（Python/Flask）】
ユーザーの入力値をそのままヘッダーに入れちゃダメ！
response = make_response(“Hello”)
response.headers[‘X-User-Name’] = user_input # ここで改行コードを入れられたらアウト！
【良い例（修正後のアプローチ）】
import re
許可された文字以外は削除する（ホワイトリスト方式）
def sanitize_header(value):
# 英数字とハイフン以外を弾く
return re.sub(r'[^a-zA-Z0-9-]’, ”, value)
safe_name = sanitize_header(user_input)
response.headers[‘X-User-Name’] = safe_name # 安全な値だけを通す
—
4. モダンな防御ヘッダーで「最強の門番」を雇う
最近のブラウザは賢いので、Webサイト側から「このサイトはこういうルールで動くから、変な命令は無視してね！」と教えてあげることができます。これをセキュリティヘッダーと呼びます。
以下は、最低限設定しておきたい「鉄壁のラインナップ」です。
- Content-Security-Policy (CSP): 「このサイトで動かしていいプログラムは、ここから来たものだけ！」と制限する、最強の門番です。
- X-Content-Type-Options: nosniff: ブラウザが勝手に「これはプログラムファイルかな？」と推測するのを防ぎます。
【Nginxでの設定例】
サーバーの応答ヘッダーにセキュリティを付与
add_header X-Content-Type-Options “nosniff” always;
add_header Content-Security-Policy “default-src ‘self’;” always;
—
最後に：セキュリティは「泥臭い積み重ね」です
「完璧なセキュリティ」は存在しません。しかし、今回お伝えした「入力を信じない」「門番を置く」という意識があるだけで、攻撃者にとってあなたのサイトは「攻略しにくい面倒な相手」になります。
セキュリティは、派手なハッキング映画のようなものではなく、こうした「封筒の書き方」を一つずつ丁寧に正していくような、地味で泥臭い作業の積み重ねです。
まずは今日、皆さんが担当しているサービスの「ヘッダー」を、少しだけ覗いてみてください。そこにはきっと、守るべき大切な「鍵」が隠れているはずですよ！
応援しています。また次の記事でお会いしましょう。
コメント