「あなたのプログラムが、知らない誰かに操られる？」デシリアライゼーションの恐怖と防御の基本
こんにちは！セキュリティの世界へようこそ。
日々、開発の現場でコードを書いていると、「データを保存したり、別のサーバーに送ったり」することは当たり前ですよね。でも、実はその「便利な仕組み」が、サイバー攻撃者にとっての「裏口」になってしまうことがあるんです。
今日は、初心者の方が一度はつまずく「デシリアライゼーション（Deserialization）」という、ちょっと名前が長いこの難敵について、身近な例を交えて紐解いていきましょう。
—
1. 「シリアライズ」と「デシリアライズ」って何？
まずは言葉の意味から。難しく考える必要はありません。
- シリアライズ（直列化）： オブジェクト（データのかたまり）を、通信や保存ができるように「細長い文字列やバイナリデータ」に変換すること。いわば、「荷物をダンボールに詰める作業」です。
- デシリアライズ（復元）： そのデータを元のオブジェクトに戻すこと。これは「届いたダンボールを開封して中身を取り出す作業」ですね。
この「開封」のプロセスに、大きな落とし穴があるんです。
2. なぜ危ないの？「トロイの木馬」を受け取っているのと同じ
想像してみてください。あなたは宅配便を受け取る係です。
信頼できる人から届くはずのダンボール。でも、もし「見知らぬ誰かが、中身をすり替えて送ってきたら？」どうなるでしょうか。
中を開けた瞬間、そこには荷物ではなく「毒ヘビ」や「爆弾」が入っていたら……これが、デシリアライゼーション攻撃の正体です。
攻撃者は、わざと細工した「不正なデータ」を送ります。プログラム側がそれを「本物のデータだ！」と信じ込んで開封（復元）した瞬間、攻撃者が仕込んだ命令が、あなたのサーバーの中で勝手に実行されてしまうのです。これを「リモートコード実行（RCE）」と呼びます。サーバーの権限を乗っ取られる、最悪のシナリオですね。
3. どうすれば防げるの？「身元確認」と「箱の制限」
では、どうやって身を守ればいいのでしょうか。基本は2つです。
① 信頼できないデータは絶対に復元しない
一番の対策は、「誰が送ったかわからないデータ」を勝手に開封しないことです。玄関で言えば、「差出人不明の小包は、中身を確認するまで家に入れない」のと同じです。
② 署名（シール）を確認する
「このデータは本当に本物か？」を確認するために、「デジタル署名」という封印を施しましょう。データが作成された後、改ざんされていないことを数学的に証明する仕組みです。
Pythonでの署名検証のイメージ（HMACを使用）
import hmac
import hashlib
SECRET_KEY = b’super-secret-key-for-my-app’ # 絶対に外部に漏らしてはいけない鍵
def verify_and_deserialize(data, signature):
# 届いたデータと署名を、秘密鍵を使って照合します
expected_signature = hmac.new(SECRET_KEY, data, hashlib.sha256).hexdigest()
# 署名が一致しない場合は「怪しい荷物」として破棄！
if not hmac.compare_digest(expected_signature, signature):
raise ValueError(“この荷物は改ざんされています！受け取り拒否！”)
# 署名がOKなら、初めてデシリアライズします
return deserialize_data(data)
4. 今日からできる具体的な対策リスト
現場の開発で、まずはここから意識してみてください。
- JSONやXMLを使う（極力避ける）： Javaのネイティブなシリアライズ形式（`java.io.Serializable`など）は、極めて危険なことで有名です。可能であれば、プログラムのロジックを含まない「ただのテキスト形式（JSONなど）」を使うようにしましょう。
- 最新のライブラリを使う： 昔のライブラリには、脆弱性が残っていることがよくあります。依存関係のアップデートは怠らないでくださいね。
- 最小権限の原則： 万が一乗っ取られても被害が最小限で済むよう、プログラムは「必要最低限の権限」で動かしましょう。
—
最後に：セキュリティは「疑う」ことから始まる
セキュリティの仕事をしていると、「性悪説」が基本になります。
「ユーザーが送ってくるデータは、常に攻撃の可能性がある」と疑い、入り口でしっかりチェックする。この少しの「疑う心」が、あなたの書いたコードとサーバーを守る最大の防壁になります。
最初は難しく感じるかもしれませんが、こうして一つずつ仕組みを理解していけば、必ず強固なシステムを作れるようになりますよ。
次回の記事では、実際にどのようなコードが狙われやすいのか、もう少し踏み込んだ「攻撃の観察」をしてみたいと思います。一緒にコツコツ学んでいきましょう！
コメント