こんにちは。セキュリティの最前線で泥臭いインシデント対応を続けているエンジニアです。
「セキュリティ」と聞くと、なんだか難しくて近寄りがたいものに感じますよね。でも、実は私たちの日常生活と同じなんです。今日は、Webサイトを「あなたの家」に例えて、あまり注目されないけれど、実はとっても恐ろしい「忍び込みの手口」と、それを防ぐ魔法の呪文（CSP）についてお話しします。
一歩ずつ、一緒に見ていきましょう！
—
1. 家の中に「勝手な隠し扉」を作らせない（object-srcの脅威）
みなさんの家には、玄関や窓といった「正しい入り口」がありますよね。でも、もし泥棒が壁に勝手に小さな「隠し扉」を作って、そこから中に入ってきたらどうでしょう？
Webの世界でいう「隠し扉」の一つが、Flashのような古いプラグインです。かつては動画やゲームで活躍しましたが、今はセキュリティ上の大きな穴です。
攻撃のメカニズム
攻撃者は、Webサイトに細工をして、ブラウザに対して「このプラグイン（隠し扉）を読み込め！」と命令します。もしあなたのサイトがこれを許してしまうと、攻撃者はそのプラグインを通じて、ブラウザを乗っ取ったり、裏で悪いプログラムを動かしたりできてしまうんです。
どうやって防ぐ？（object-src）
ここで登場するのが、ブラウザに送る「指令書」であるCSP（Content Security Policy）です。
object-src 'none';
この一行を指令書に書くだけで、「この家には隠し扉（プラグイン）なんて存在させないぞ！」とブラウザに強く宣言できます。‘none’（なし）と設定するのが、現代のセキュリティにおける鉄則です。
—
2. 帰り道をすり替える「看板の偽装」（base-uriの脅威）
もう一つ、非常に巧妙な手口が「帰り道をすり替える」攻撃です。
攻撃のメカニズム
HTMLには
もし攻撃者がこの看板を書き換えて、全く別の「悪者の家」を指すようにしてしまったらどうなるでしょうか？ ユーザーが「ログイン」ボタンを押したつもりが、実は攻撃者が用意した偽のログイン画面に飛ばされて、パスワードを盗まれてしまうかもしれません。
どうやって防ぐ？（base-uri）
これもCSPの力を借りましょう。
base-uri 'self';
これの設定は簡単です。「看板は、自分の家の敷地内のものしか認めない！」というルールです。'self'と指定することで、外部から勝手に看板をすり替えられるリスクを根こそぎ断ち切ることができます。
—
3. 実践！最強の指令書（CSPヘッダー）を設定しよう
では、実際にWebサーバーからブラウザへ送るヘッダー設定を見てみましょう。これを設定するだけで、サイトの防御力は格段に跳ね上がります。
HTTPレスポンスヘッダーの設定例
Content-Security-Policy: default-src ‘self’; object-src ‘none’; base-uri ‘self’; frame-ancestors ‘none’;
設定の解説（辞書代わり使ってください）
default-src 'self';- 基本ルールです。「基本的には、自分のサイト（self）から持ってきたものだけを信頼してね」という宣言です。
object-src 'none';- 今回のテーマの核心です。「プラグインなんて一切許可しない！」という強力なバリアです。
base-uri 'self';- 「リンクの看板は、自分のサイト内のものだけ有効！」とすることで、URLのハイジャックを防ぎます。
frame-ancestors 'none';- 「他のサイトのフレームの中に、自分のサイトを埋め込まないで！」という、クリックジャッキング攻撃を防ぐための設定です。
—
最後に：セキュリティは「完璧」を目指さなくていい
ここまで読んでみて、いかがでしたか？ 少しずつ「これなら私にもできそうかも？」と思っていただけたら嬉しいです。
セキュリティ対策において、最初から全てを完璧にする必要はありません。まずはこうして、「隠し扉を塞ぐ」「帰り道の看板を守る」といった小さな一歩を積み重ねることが、何よりも重要なんです。
あなたの書くコードや守るサイトが、少しでも安全になることを心から応援しています。また何か分からないことがあれば、いつでも聞きに来てくださいね！
コメント