こんにちは！新人IT担当者の皆さん、日々の開発やインフラの管理、本当にお疲れ様です。
「セキュリティ」って言葉、なんだか難しそうで専門用語ばかりで頭が痛くなりませんか？
今回は、Webサイトを作るときにうっかりやってしまいがちな「オープンリダイレクト」という脆弱性について、身近な防犯にたとえて一緒に優しく紐解いていきたいと思います。一歩ずつ、安心して学んでいきましょう！
—
1. 家の鍵で例える「リダイレクト」の仕組み
まずは、Webサイトの「リダイレクト（転送）」がどんなものか、おうちの防犯にたとえて考えてみましょう。
想像してみてください。あなたは今、有名デパートの公式サイト（安全な場所）にいます。お買い物をしようとログインボタンを押したあと、システムがあなたを自動的に「マイページ（目的地）」へと案内してくれますよね。これが「リダイレクト」です。
このとき、デパートの玄関に立っている案内係（プログラム）が、こんな風に聞いてきます。
「お客様、ログインが終わったらどちらの売場に向かいますか？ ?next=mypage（マイページですね）」
案内係は親切なので、あなたが指定した場所へ案内してくれます。これがURLパラメータを使ったリダイレクトの仕組みです。便利ですよね？
—
2. 泥棒の手口：「オープンリダイレクト」の恐怖
じゃあ、もしこの案内係が「誰の言うことも信じてしまう、ちょっとお人好しすぎる性格」だったらどうなるでしょうか？
ある日、悪意を持った泥棒（攻撃者）が、あなたにこんな偽のリンクを踏ませました。
https://example.com/login?next=https://evil-phishing.com
このURLの裏側で何が起きているか、わかりますか？
1. あなたは「有名デパート（example.com）」のログイン画面を開きます。URLのドメインは本物なので、あなたはすっかり安心してしまいます。
2. ログインを完了した瞬間、お人好しな案内係はこう考えます。「おっ、nextの後ろに https://evil-phishing.com って書いてあるな！そこへご案内しよう！」
3. あなたは気づかないうちに、泥そっくりに作られた偽のデパート（フィッシングサイト）へ飛ばされてしまいます。
見た目は本物のデパートのドメインから始まるリンクだったので、あなたは疑いもせず、偽サイトの入力欄にクレジットカード番号やパスワードを入力してしまう……これが、オープンリダイレクトの恐ろしいところです。
攻撃者は、信頼されている本物のサイトの名前を「おとり」に使って、あなたを油断させるわけですね。
—
3. 危険な実装と、その原因を知ろう
では、開発現場ではいったいどんなコードがこの脆弱性を生んでしまうのでしょうか？
例えば、PHPを使ってこんなプログラムを書いたとします。
<?
// 【危険な実装例】受け取ったURLへ無条件に転送してしまう
$redirect_url = $_GET['next'];
// ユーザーから渡されたパラメータをチェックせずにそのまま使っている
header("Location: " . $redirect_url);
exit();
?>これ、一見するとシンプルで動きそうに見えますよね。でも、$_GET['next'] の中身をまったく確認していないため、先ほどのように外部の悪意あるサイトへ簡単に飛ばされてしまうのです。これが「オープン（開きっぱなしの）リダイレクト」と呼ばれる理由です。
—
4. 対策の基本：ホワイトリスト方式で「安全な場所」だけを許可する
「じゃあ、どうやってこのお人好しな案内係をしっかり者に変えればいいの？」
安心してください、一番確実で強力な対策があります。それが「ホワイトリスト方式」です。
ホワイトリスト方式とは、「あらかじめ安全だと分かっている行き先のリスト（名簿）」を作っておき、そのリストに載っている場所以外への案内はすべてお断りする方法です。
身近な例で言えば、マンションのオートロックで「居住者の家族リスト」だけを通し、知らない人は一切入れないようにするのと同じですね。
実際に、PHPを使って安全なホワイトリスト方式を実装してみましょう。
<?
// 【安全な実装例】あらかじめ許可された「安全な行き先」のリスト（ホワイトリスト）を用意する
$allowed_redirects = [
"dashboard" => "/user/dashboard.php",
"profile" => "/user/profile.php",
"settings" => "/user/settings.php"
];
// ユーザーから受け取ったキーを取得（例: ?next=dashboard）
$key = $_GET['next'] ?? 'dashboard';
// リストの中に指定されたキーが存在するかチェックする
if (array_key_exists($key, $allowed_redirects)) {
// リストに載っていれば、安全な内部のパスへ転送する
$destination = $allowed_redirects[$key];
} else {
// リストに載っていない怪しい指定だった場合は、デフォルトの安全なページへ逃がす
$destination = "/user/dashboard.php";
}
// 転送を実行
header("Location: " . $destination);
exit();
?>このコードのポイントは、「ユーザーに直接URLの行き先を自由に入力させず、あらかじめ用意した安全なキーワード（dashboard や profile など）を選ばせている」という点です。これなら、外部の怪しいサイト（https://evil-phishing.com など）へ飛ばされる心配はゼロになりますよね！
—
5. まとめ：一歩ずつ、安全なWebサイトを作っていこう
いかがでしたでしょうか？
オープンリダイレクトという言葉は難しそうに聞こえますが、「ユーザーに勝手な行き先を決めさせず、安全なリストの中から選んでもらう」というルールを守るだけで、フィッシング詐欺への悪用を綺麗に防ぐことができます。
もしどうしても外部のURLを指定する必要がある場合でも、「自社の別のサブドメインだけに絞る」など、条件を厳しく制限することが大切です。
セキュリティ対策は、一度にすべてを完璧にする必要はありません。「あ、このコード、パラメータをそのまま header() に突っ込んじゃってるかも……」と気づけただけで、今日から立派なセキュリティ第一歩です！
これからも一緒に、安全で楽しいWebの世界を作っていきましょう！
コメント