会員サイトの公開前に確認したい「他人の情報が見えないか」

ログインできる人だけが使える会員サイトでも、「その人が、どの情報を見たり変更したりしてよいか」は別に確認する必要があります。

例えば請求書を管理するWebアプリなら、A社の利用者にA社の請求書が見えるのは正常です。一方、A社の利用者がB社の請求書まで取得できると、会社をまたいだ情報漏えいにつながります。

画面上に他社の請求書へのリンクが出ていなくても、それだけでは判断できません。画面の裏側で動くAPIが、要求されたデータと利用者の権限を照合しているかが大切です。

こうした「誰が、どの情報に、どんな操作をしてよいか」を確認するのが、認可の検証です。

私のサービスでは、ログイン後のWeb・API機能について、テスト用の利用者や権限を切り替え、他人のデータ閲覧・変更や、権限外の操作ができてしまわないかを手動で確認します。

最初は、確認したい機能を1つに絞ります。例えば「請求書の一覧・詳細・更新」「会員が自分の登録情報を確認・変更する機能」などです。対象と期待する権限を伺い、どこまで検査するかを購入前に決めます。

診断後は、日本語のPDF報告書をお渡しします。

・確認した対象と検査項目

・結果と、確認できなかった条件

・指摘がある場合の再現手順、証跡、影響、修正方針

指摘が見つからなかった場合も、実施範囲と結果を報告します。システム全体の安全性を保証するものではありません。

Web/APIの脆弱性診断と報告書作成には、それぞれ3年の実務経験があります。診断の担当件数は数十件で、案件規模の目安は20～100画面です。個人で提供するサービスは週10時間の稼働に合わせ、機能単位で範囲を限定しています。

公開している報告書サンプルは、架空の請求書アプリを使った見本です。実顧客のシステムや診断結果ではありません。報告書で何をお伝えするかの参考としてご覧ください。

基本料金は50,000円。1アプリ・1環境・1業務フローを対象に、HTTPメソッドとパスの組み合わせは最大3組、権限は最大2種類、テストアカウントは最大3つを上限に、診断最大6時間に収まる実施項目を合意します。初回の指摘箇所に対する再診断も1回・最大2時間まで含みます。

初回報告は、範囲・許諾・検証環境・テストアカウント等が揃ってから14暦日が目安です。購入前に具体的な日程を合意します。再診断は、初回報告後30暦日以内に修正とアクセスをご提供いただき、準備完了後7暦日を目安に日程を合意します。

修正実装や常時監視、システム全体の網羅的な診断は含みません。対象資産を所有されている方、または診断の許可権限を持つ方からのご依頼を対象としています。

相談時には、アプリの概要、確認したい機能、利用者の権限の種類、検証環境の有無、希望納期を教えてください。パスワードや本番の個人情報を、最初の相談文に書く必要はありません。

「自分のサービスでは、どの部分を確認するとよいか」という段階から、ココナラの見積り相談で対象を整理できます。

Web・APIの認可を手動で診断します

https://coconala.com/services/4506665