泥棒は「玄関」から入るとは限らない：XSSとセッションハイジャックの正体
こんにちは！セキュリティの世界へようこそ。今日は、Web開発を始めたばかりの皆さんが必ず耳にする「XSS（クロスサイトスクリプティング）」という脅威について、少しだけ視点を変えてお話しします。
セキュリティの本を読むと「HttpOnly属性を付けろ」と書いてありますが、なぜそれが必要なのか、そして「それで本当に万全なのか？」という疑問を抱いたことはありませんか？今日は、家の防犯に例えて、その本質を紐解いていきましょう。
—
1. XSS（クロスサイトスクリプティング）を「泥棒」に例えると？
XSSとは、簡単に言えば「あなたのWebサイトに、悪意ある書き込みや仕掛けを設置して、訪問者を騙す攻撃」のことです。
これを家に例えてみましょう。
あなたのWebサイトは「立派な一軒家」です。訪問者は玄関から入ってきますが、XSSは、家のどこか（掲示板のコメント欄や検索窓など）に、「実は偽物の鍵屋」を紛れ込ませるようなものです。
訪問者がその偽物の鍵屋（悪意あるJavaScriptコード）に話しかけてしまうと、家の中の大切なもの（セッションCookie）が盗まれてしまいます。
XSSの3つの入り口
- 反射型（Reflected）： 訪問者に「罠のURL」をメールで送りつけ、クリックさせる。訪問者のブラウザに一時的に罠を「反射」させるタイプです。
- 格納型（Stored）： 掲示板などに「悪意あるコード」を書き込み、それを見た全員を被害に遭わせる。一番タチが悪いです。
- DOMベース（DOM-based）： サーバーを通さず、ブラウザの中で動いているプログラムの隙を突く。玄関を通らず、窓ガラスを切り抜いて侵入してくるようなものです。
—
2. HttpOnly属性：最強の「金庫」だが、万能ではない
セッションハイジャックとは、泥棒があなたの「家の鍵（セッションCookie）」をコピーして、勝手に家主になりすまして入ってくることです。
ここで登場するのがHttpOnly属性です。Cookieにこの鍵をかけておくと、ブラウザの中で動くプログラム（JavaScript）からは、そのCookieを「読み取ること」ができなくなります。
「え、じゃあこれだけで完璧じゃないの？」と思いますよね。ここで、現実の泥棒の視点を持ってみましょう。
HttpOnlyの限界
HttpOnlyは「JavaScriptからCookieを盗まれないようにする」ための防犯対策です。つまり、泥棒がJavaScriptを使ってあなたの鍵をコピーしようとしても、「この鍵は読み取り禁止です」と拒否できます。
しかし、泥棒が狙うのは鍵のコピーだけではありません。「あなたになりすまして、勝手に操作を行う」ことも可能なのです。
—
3. 現場で使える防御の基本：設定とコード
では、どう守ればいいのでしょうか。まずは「HttpOnly」を付けるのが基本中の基本です。
サーバーでのCookie設定例（Node.js/Expressの場合）
// セッション設定でHttpOnlyを有効にするのが鉄則です
app.use(session({
name: ‘session_id’,
secret: ‘your-secret-key’,
cookie: {
httpOnly: true, // JavaScriptからのアクセスを禁止する（必須！）
secure: true, // HTTPS通信のみで送受信する（重要！）
sameSite: ‘lax’ // CSRF攻撃を防ぐための現代の標準設定
}
}));
なぜこれで十分じゃないのか？
先ほどお伝えした通り、DOMベースの攻撃や、ブラウザの通信を丸ごと乗っ取るような攻撃に対しては、HttpOnlyだけでは防げないことがあります。また、攻撃者が「あなたのブラウザを使って、勝手に送金ボタンを押させる」といった操作（CSRF攻撃など）は、Cookieが盗まれていなくても成立してしまいます。
—
4. 私たちエンジニアが本当に守るべきこと
最後に、現役エンジニアとして皆さんに伝えたいことがあります。「ツールや設定一つで守れるシステムは存在しない」ということです。
1. 入力値はすべて疑え： ユーザーが入力したものは、どんなものでも「毒」だと思ってください。必ず表示する前に「エスケープ（無害化）」しましょう。
2. 出力する場所を考えろ： HTMLの中にデータを埋め込むのか、JavaScriptの中に埋め込むのかで、必要な対策は変わります。
3. CSP（Content Security Policy）を検討しよう： これは「不審な外部の人間を一切家に入れない」という、家全体に貼る強力な警備システムのようなものです。
一歩ずつ進むための教訓
セキュリティは、一度設定して終わりではありません。泥棒も常に新しい手口を考えています。でも、怖がる必要はありません。まずは「HttpOnly」を正しく設定し、ユーザーが入力する場所には細心の注意を払う。その一歩が、何万人ものユーザーを守る大きな壁になるんです。
分からないことがあれば、またいつでも聞いてください。焦らず、一緒に強固なWebサイトを作っていきましょう！
コメント