平成30年度春期 情報処理安全確保支援士 午前Ⅱ 問17

SQLインジェクション対策は、入口を固めて被害も小さくする話だよ

Webアプリでは、SQL文の形と入力値をごちゃ混ぜにしないように、プレースホルダを使って分けて扱うのが基本だよ。たとえるなら、注文票の「商品名を書く欄」に勝手に命令文を書かれても、店員さんがそれを命令として読まないようにするイメージだね。さらに、万一すり抜けられたときに備えて、データベースのアカウント権限は必要最小限にしておこう。

この問題で問われていること

この問題では、SQLインジェクションを直接防ぐアプリ側の対策と、もし攻撃されたときの被害を広げない周辺対策の両方を見分けられるかがポイントだよ。

SQL Injection Defense Pair

the proper SQL injection defenses are placeholders in application code plus least-privilege database permissions outside the code

use placeholders\nseparate SQL and values\nminimize DB account privileges

確認ポイント

• プレースホルダを最優先で見る。
• DB 権限最小化を組み合わせる。
• TLS や chroot は別論点。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。シェルを起動しない、chrootでWebサーバを閉じ込める、というのは「サーバ上で勝手に命令を実行される攻撃」への備えに近いんだ。SQLインジェクションは、窓口で渡す申込書にこっそり店員への命令を書き足すような攻撃だから、データベースへの命令文そのものを安全に作る対策が必要だよ。

選択肢イ

これは不正解だよ。パス名やファイル名を外から受け取らない、重要ファイルを公開場所に置かない、というのは「見せてはいけないファイルを指定されて読まれる」攻撃への対策だよ。たとえるなら、倉庫の棚番号を客に自由入力させない話で、SQLインジェクションのようにレジ係へ変な命令を混ぜる話とは別物だよ。

選択肢ウ

これは不正解だよ。セッションIDを乱数にする、TLSで通信を暗号化する、というのはログイン中の合鍵を盗まれにくくする対策だよ。SQLインジェクションは、通信路や合鍵の問題ではなく、入力欄からデータベースへの命令を混ぜ込まれる問題なので、狙いが違うんだ。

選択肢エ（正解）

これが正解だよ。プレースホルダは、注文票の「名前を書く欄」と「店員への指示欄」をきっちり分ける仕組みみたいなものだよ。利用者の入力をSQL文の命令として混ぜず、ただの値として扱えるのでSQLインジェクションを防げるんだ。さらにDB権限を必要最小限にしておけば、万一すり抜けられても被害を小さくできるよ。