WebDAV時代のセキュリティ対策［前編］

WebDAV時代のセキュリティ対策［前編］
− 各メソッドに内在する脅威 −

WebDAVの特徴と機能

　次世代プロトコルWebDAVの可能性で、WebDAVの技術仕様と構築・運用方法について解説しました。そのときに説明したとおり、WebDAVはHTTPを読むだけのプロトコルから書くこともできるプロトコルへと拡張したものです。その主な機能をあらためて振り返ると、

• ファイル作成
  
• ファイルへの書き込み
  
• ディレクトリ作成
  
• コピー
  
• 移動
  
• 削除
  
• ロック操作

といったものが挙げられます。見てのとおり、ファイル操作に必要とされる機能が拡張されていることが分かります。この機能を何の制限もなく公開することは、「データを壊してください」というに等しい行為です。とはいえ、機能として便利なものがそろっているのも事実です。適切な制限をかけたうえで利用すれば、その威力は絶大なものとなります。

　本稿では、Apache 1.3.22＋mod_dav-1.0.3（2001年11月28日時点の最新版）の組み合わせを例に、制限をかけない（もしくは破られた）際の影響とその対策について、各メソッドの機能とともに説明します。

　検証用クライアント環境としては、基本的にはtelnetによる80番ポートの接続を用いていますが、検証結果を分かりやすくするため必要に応じてWebフォルダ、SkunkDAV、cadaver（編注）などを使っています。

メソッドとステータスコードから見るセキュリティホール

　各メソッドの詳細に入る前に、WebDAVに関連するメソッドやステータスコードを概観しておきましょう。メソッドやステータスコードにはどのような種類があり、どのような危険性があるのかを大まかにつかんでおけば、後述する詳細も理解しやすいでしょう。

　まず、表1にメソッド、表2にステータスコードの種類を示します。

　表2の中で、注意すべきステータスコードと考えられるセキュリティ上の脅威を表3に示します。

　また、表3には含まれませんが注意すべきメソッドとして、リソース／コレクションのプロパティの取得を行う「PROPFIND」があります。

　表3のステータスコードの大半はWebDAVで新規に追加されたメソッドに対するものですが、PUTなど一部既存のメソッドに関するものも含まれます。このように、従来のメソッドも拡張が施されていますので、新旧に関係なくあらためてメソッドの動きを見直した方がよいでしょう。

各メソッドに内在する脅威と対策

　ここから、メソッドごとに脅威となり得る点とその対策方法を詳述していきます。本稿ではApacheのディレクティブで制限する方法を挙げておきますが、ほかのWebサーバでも同様のポリシーによって防御可能（注）です。

■PROPFINDメソッド

●脅威：

• リソース／コレクションのプロパティを知られてしまう
  　コレクションのプロパティを見られるとリソース／コレクションの配置が丸分かりになる危険性がある。

　例えば、Webフォルダによるファイル一覧（画面1）はPROPFINDメソッドをコレクションに対して発行し、結果を取得しています。リスト1は、その際のパケットキャプチャの結果です。

画面1　Webフォルダによるファイル一覧（画像をクリックすると拡大表示します）

　通常のWebブラウザでも、Apacheの設定によってはGETリクエストの結果としてディレクトリの内容が分かる場合があります（画面2）が、

• Apache側でOptions Indexesを指定しない
  
• ダミーのindex.htmlファイルを置いておく

などしておけば、これを防ぐことができます。詳しくはApacheによるWebサーバ構築 第7回の最後を参照してください。

画面2　Apacheの設定によってはディレクトリ構造が見えてしまう

　しかし、PROPFINDメソッドはそもそも「コレクションのプロパティ」を取得することによってコレクションに含まれるリソースを確認するため、上記の対策では防げません。

●対策：

• PROPFINDメソッドの実行を制限する

　具体的には、httpd.confでPROPFINDメソッドの実行を制限したい場所（例では/davauth）をリスト2のように設定して、Limitディレクティブで指定したメソッド（ここではPROPFIND）が使われた場合は認証を求めるようにします。

　上記の設定を施しておくことで、リスト3のようなレスポンスがWebブラウザに対して返却されます。正しい認証情報を与えない限り、不正にアクセスされることはありません。

■MKCOLメソッド

●脅威：

• 勝手にコレクションを作成されてしまう
  　少しではあるが、サーバ資源を勝手に利用されてしまう。

　実際に、ポート80に対してtelnetで接続した場合の実行例と、作成されたコレクションに対応してディレクトリができている様子をリスト4に示します。

●対策：

• MKCOLリクエストの実行を制限する
  　リスト2で「PROPFIND」となっている部分を「MKCOL」に変更することで、MKCOLについてのリクエストを制限可能。

■COPYメソッド

●脅威：

• 勝手にリソースやコレクションを複製／破壊されてしまう
  
• 既存のリソースに対する上書きを実施されることでコンテンツが破壊される（リスト5）
  
• COPYメソッドの発行を繰り返すことで、ディスクフルなどの事象を誘発される（リスト6）

　ほかにも、リソース名やコレクション名を変更されてしまうことで、コンテンツの依存関係が崩されるといった事態も考えられます。

●対策：

• COPYリクエストの発行を制限する
  　PROPFINDやMKCOLの制限と同様の設定を行うことで、リクエストを制限することが可能。
  
• ディスクフルになっても被害が局所的に収まるようにクオータなどを設定する
  　クオータの設定については、Linux Tipsに設定方法があるので参考にしてください。
  　ディスクの使用量を制限するには

■MOVEメソッド

●脅威：

• 勝手にリソースやコレクションを移動／破壊されてしまう
  　既存のリソースに対する上書きを実施されることで、コンテンツが破壊されることが考えられる（リスト7）。

　また、リソース名やコレクション名を変更されてしまうことで、コンテンツの依存関係が崩されるといった事態も考えられます。

●対策：

• MOVEリクエストの発行を制限する
  　PROPFINDやMKCOLなどの制限と同様の設定を行うことで、リクエストを制限可能。

■DELETEメソッド

●脅威：

• 勝手にリソースやコレクションを削除される（リスト8）

●対策：

• DELETEリクエストの発行を制限する
  　PROPFINDやMKCOLなどの制限と同様の設定を行うことで、リクエストを制限可能。

■PROPPATCHメソッド

●脅威：

• リソースやコレクションのデッドプロパティを勝手に追加／改ざん／破壊されてしまう

　SkunkDAVクライアントで、改ざん前のデッドプロパティの値を表示している様子を画面3に、改ざんの様子をリスト9に、改ざん後のデッドプロパティの様子を画面4に示します。

画面3　PROPPATCHによるプロパティ変更例（画像をクリックすると拡大表示します）

画面4　改ざん後のデッドプロパティ（画像をクリックすると拡大表示します）

●対策：

• PROPPATCHリクエストの発行を制限する
  　PROPFINDやMKCOLなどの制限と同様の設定を行うことで、リクエストを制限可能。

■LOCKメソッド

●脅威：

• ファイルに勝手にロックをかけられ、WebDAV経由での操作が不可能になる

　cadaverを使ってロックをかけている様子をリスト10に、ロックをかけられたことを知らずにSkunkDAV経由でロックをかけようとした様子を画面5に示します。

画面5　他者の操作ができない例（画像をクリックすると拡大表示します）

●対策：

• LOCKメソッドの発行を制限する
  　PROPFINDやMKCOLなどの制限と同様の設定を行うことで、リクエストを制限可能。

　また、すでにロックがかけられてしまった場合はロックデータベースファイルを削除する（リスト11）ことでロックを解除することが可能です。

　この状態で、例えば新規にロックをかけた（画面6）場合、ロックデータベースファイルは新たに作成されます。

画面6　ロック操作の例（画像をクリックすると拡大表示します）

■UNLOCKメソッド

●脅威：

• ロックをかけた以外の人がUNLOCKによって解除を実施してしまう

　LOCKメソッドでかけたロックをUNLOCKメソッドで開放するためには、Lockトークンが必要になります。対応するLockトークンは、LOCKリクエストに対応したレスポンス中で返却されますが、このトークンが不正に取得されてしまうとロックをかけた以外の人でもUNLOCKによるロック解除の実施が可能になります。画面6にてSkunkDAVでLOCKメソッドを発行しているときの通信内容をリスト12に示します。

　上記の例では、Lockトークンは以下のような文字列になっています。

　この文字列をLockトークンに指定してUNLOCKリクエストを発行することで、ロックの解除が可能です。これを用いて不正にロックを解除している様子をリスト13に示します。

　また、ロックが解除されたことを知らないSkunkDAVからロックを解除しようとすると、画面7のような画面が表示がされます（注）。

画面7　SkunkDAVでロックを解除しようとすると表示される画面（画像をクリックすると拡大表示します）

●対策：

• UNLOCKメソッドの発行を制限する
  　PROPFINDやMKCOLなどの制限と同様の設定を行うことで、リクエストを制限可能。

　また、Lockトークンが奪取されること自体がよいことではないので、あまりにもLOCKが解除されるという状態が続いたら、ネットワークの不正盗聴などが行われている可能性も視野に入れてください。

■PUTメソッド

●脅威：

• 勝手にファイルを作成されてしまう（リスト14）
  
• 既存のリソースに対して上書きされると、リソースが破壊される（リスト15）

●対策：

• PUTメソッドの発行を制限する
  　PROPFINDやMKCOLなどの制限と同様の設定を行うことで、リクエストを制限可能。

後編の予告

　前編では、各メソッドの動作・危険性と、それに応じた対処方法を中心に解説しました。メソッドの動作を知ることで、防御方法が浮き彫りになったと思います。

　後編では、より包括的にセキュリティを確保する方法を紹介します。「ダイジェスト認証」を使ったより安全な認証方法やmod_dav固有の問題とその対策方法など、WebDAVの利点を生かしたままセキュリティを強化できることをお伝えします。