JWTは「魔法の通行証」？その重さでサーバーをダウンさせる攻撃手法とは
こんにちは！セキュリティの世界へようこそ。今日は、Web開発の現場で毎日のように使われている「JWT（JSON Web Token）」の、ちょっと危ない落とし穴についてお話しします。
JWTは、いわば「デジタルな身分証明書」です。ログインした後にサーバーから受け取り、それを見せるだけで「私は正当なユーザーですよ」と証明できる便利なものですね。しかし、この「通行証」のサイズを悪用した、巧妙な攻撃があることをご存知でしょうか。
今日は、初心者の方でもわかるように「泥棒」に例えて、この仕組みを紐解いていきましょう。
—
泥棒が「巨大な通行証」を突きつけてきたら？
想像してみてください。あなたは厳重な警備が必要な建物の管理人です。入り口で通行証を見せられたら、あなたは必ずその内容をチェックしますよね。
ここで悪意ある攻撃者は、「とてつもなく巨大な通行証」を用意します。例えば、何千ページもの無意味な文章が書き込まれた巨大な紙です。あなたがその紙を広げて、隅から隅まで読み込もうとしたらどうなるでしょうか？
- 処理に時間がかかる： 他の正当な来客を待たせてしまいます。
- メモリがパンクする： 巨大な紙を広げる場所（メモリ）が足りなくなり、あなたは倒れてしまいます（＝サーバーダウン）。
これが、ITの世界でいう「DoS（サービス拒否）攻撃」です。攻撃者は、たった数枚の巨大なJWTをサーバーに送りつけるだけで、サーバーの脳（メモリ）を麻痺させてしまうのです。
—
どうやって防ぐ？「サイズ制限」というフィルター
対策はとてもシンプルです。入り口に「このサイズより大きい通行証は受け取りません」という看板を出すこと。これがエンジニアの現場で行う「サイズ制限」です。
具体的には、JWTを受け取る際のHTTPヘッダーや、アプリケーションの入り口で、トークンの文字列長をチェックします。
実装例：Node.js (Express) でのガード実装
例えば、Webサーバーがリクエストを受け取る際に、以下のようなフィルターを挟むのが定石です。
// リクエストのヘッダーからJWTを取得する際のチェック例
const MAX_JWT_LENGTH = 8192; // 8KBを上限とする（一般的な用途なら十分なサイズ）
function validateTokenSize(req, res, next) {
const authHeader = req.headers['authorization'];
if (authHeader) {
const token = authHeader.split(' ')[1]; // "Bearer <token>" から本体を抽出
// トークンが長すぎたら即座にお断り！
if (token && token.length > MAX_JWT_LENGTH) {
console.warn("警告: 巨大なトークンが検出されました。ブロックします。");
return res.status(413).send("Payload Too Large: トークンが長すぎます");
}
}
next(); // 問題なければ次の処理へ
}このコードのポイントは、「中身を解析する前にサイズだけを見る」という点です。重い暗号化の計算や署名検証を始める前に、入り口で「重すぎるから帰ってください」と門前払いすることで、サーバーの負荷を最小限に抑えられます。
—
なぜ「巨大なJWT」が作れるのか？（攻撃の盲点）
ここで「そもそもJWTってそんなに大きくなるの？」と疑問に思うかもしれません。実は、JWTの構造に秘密があります。
JWTは、「ヘッダー」「ペイロード（中身）」「署名」の3つがドットで繋がれた文字列です。このペイロード部分には、ユーザーIDや役割などの情報を自由に書き込めます。攻撃者はここに「意味のない大量のデータ」を詰め込むことで、意図的にサイズを肥大化させます。
また、暗号理論の観点では、「署名検証」も重い処理の一つです。RSAや楕円曲線暗号（ECC）を使った検証は、CPUに負荷をかけます。巨大なJWTを送りつけることは、CPUとメモリの両方を同時に攻撃する、効率的な嫌がらせなのです。
—
一歩ずつ対策を積み重ねよう
セキュリティ対策と聞くと身構えてしまうかもしれませんが、今日学んだことはたったこれだけです。
1. 「何でも受け入れる」をやめる： 通行証（JWT）には上限サイズを設ける。
2. 早期拒否（Fail Fast）： 解析の前にサイズチェックを行い、怪しいものは即座に拒否する。
3. しきい値を決める： 自分のサービスにとって「本当に必要なサイズ」はどれくらいか？を把握しておく。
これだけで、あなたのサーバーは「無駄な重労働」から解放され、より強固なものになります。
セキュリティは、一度やって終わりではありません。こうして一つずつ、家の鍵を頑丈にするように知識を積み上げていくことが、最も大切です。また一緒に、少しずつ学んでいきましょうね！
コメント