【入門編】セッションIDの予測可能性を排除する乱数生成 – アプリケーションセキュリティ & 安全な開発防御ガイド

鍵は「合鍵屋さん」が作るもの？それとも「サイコロ」で決めるもの？

こんにちは。セキュリティの世界へようこそ。今日は、Webサイトの入り口である「セッションID」について、少しだけ掘り下げてお話しします。

皆さんは、自分の家の鍵を作るとき、どうしますか？街の合鍵屋さんで、元鍵の形をなぞって作りますよね。でも、もしその合鍵屋さんが「昨日作った鍵のパターンを全部メモしておいたよ」と言ったらどうでしょう。次に誰かが来るたびに、そのメモを見て「あ、この形ならあの家が開くはずだ」と予測できてしまいます。

WebサイトのセッションIDも、これと全く同じことが起きています。今日は、「絶対に予測できない鍵」をどうやって作るか、その秘密に迫っていきましょう。

—

1. なぜ「セッションID」が盗まれると危ないの？

Webサイトにログインすると、ブラウザは「ログイン成功の証」として、サーバーから「セッションID」というチケットを受け取ります。以降、そのサイトを見るたびに「私はログイン済みですよ！」とこのチケットを見せることで、いちいちパスワードを入力しなくて済む仕組みです。

もし、このチケット（セッションID）が誰かに予測されたらどうなるでしょうか？
攻撃者はあなたのパスワードを知らなくても、「あなたになりすまして」サイトにログインできてしまいます。これを「セッションハイジャック」と呼びます。

—

2. 攻撃者は「サイコロの目」を狙っている

多くの開発者がやりがちな失敗は、「単純な数字の羅列」や「時刻をベースにしたID」を使ってしまうことです。

例えば、「20231027120001」「20231027120002」…と連番になっていたらどうでしょう？攻撃者は簡単に次のIDを予想できますよね。また、`Math.random()` のような、ゲーム開発などで使われる「普通の乱数生成器」も実は危険です。これらは「次に出る数字」にある程度の規則性があるため、プロの攻撃者にかかれば簡単に見抜かれてしまいます。

そこで登場するのが、暗号論的に安全な擬似乱数生成器（CSPRNG）という頼もしい味方です。

—

3. 「CSPRNG」で解読不可能な鍵を作る

CSPRNGは、簡単に言えば「予測不可能なサイコロ」です。これを生成するためには、CPUの熱ノイズやマウスの動きなど、人間には到底予測できない「環境の揺らぎ」を材料にして作られています。

安全なセッションID生成のコード例（Node.jsの場合）

自分で乱数を作るのではなく、言語が標準で用意している「セキュリティ目的のライブラリ」を使いましょう。

const crypto = require(‘crypto’);

セッションIDを生成する関数
長さは十分に長く（最低でも128ビット以上）、
暗号学的に安全な乱数生成器を使用します。

/
function generateSessionId() {
// 32バイト（256ビット）のランダムな値を生成
// これなら地球上の誰が何万年計算しても予測不可能です
return crypto.randomBytes(32).toString(‘hex’);
}

console.log(“生成されたセッションID:”, generateSessionId());

このように、`crypto` モジュールなど、言語ごとの「暗号ライブラリ」を必ず利用してください。

—

4. 鍵を「運ぶ」ときの守り方も忘れずに

どれだけ強い鍵を作っても、玄関に置き忘れていたら意味がありません。セッションIDをブラウザに送るときは、以下の「守りの設定」が必須です。

Secure属性: 「https（暗号化された通信）」でしかIDを送らないようにします。
HttpOnly属性: JavaScriptからセッションIDを盗み出せないようにします（XSS攻撃対策）。
SameSite属性: 他のサイトからの不正なアクセスでIDが使われないように制限します。

設定例（Express/Cookie設定）

res.cookie(‘session_id’, sessionId, {
httpOnly: true, // JavaScriptからのアクセスを禁止
secure: true, // HTTPS通信のみ許可
sameSite: ‘lax’ // CSRF攻撃を防ぐための設定
});

—

一歩ずつ、一緒に学んでいきましょう

セキュリティと聞くと難しく感じるかもしれませんが、要は「相手に予測させないこと」と「正しく鍵を管理すること」の積み重ねです。

今回紹介したCSPRNG（暗号論的に安全な乱数）を使うことは、開発者としての「たしなみ」です。まずは今書いているコードで、乱数の生成箇所を一度見直してみてください。「これ、実は予測できちゃうかも？」という視点を持てたなら、あなたはもう立派なセキュリティエンジニアの第一歩を踏み出しています。

これからも、一つずつ着実に、安全なWebの世界を作っていきましょう！