中間者 (MitM) 攻撃は、Web セキュリティに重大な脅威をもたらします。これらの攻撃では、悪意のある攻撃者がクライアントとサーバー間の通信を傍受し、データを盗聴、操作、または盗むことができます。このブログでは、JavaScript アプリケーションのコンテキストで MitM 攻撃がどのように機能するかを調査し、これらの脅威からアプリケーションを保護するための実践的な手順を提供します。

中間者攻撃とは何ですか?

中間者攻撃は、直接通信していると思われる 2 者間のメッセージを攻撃者が密かに傍受して中継するときに発生します。この傍受により、ログイン認証情報、財務情報、個人情報などの機密データへの不正アクセスが発生する可能性があります。

MitM 攻撃の仕組み

MitM 攻撃は次のようなさまざまな方法で実行される可能性があります:

1. DNS スプーフィング: DNS スプーフィングには、DNS レコードを変更してユーザーを悪意のある Web サイトにリダイレクトすることが含まれます。

例：
Node.js と React アプリを xyz.com にデプロイしたとします。ハッカーは DNS レコードを操作して、ユーザーが xyz.com にアクセスしようとすると、あなたのサイトと同じように見える悪意のあるサイトにリダイレクトされるようにすることができます。

DNS スプーフィングを防ぐ手順:

• DNSSEC (ドメイン ネーム システム セキュリティ拡張機能) を使用して、セキュリティ層をさらに追加します。
• DNS レコードを定期的に監視して更新します。
• DNS スプーフィングに対するセキュリティ機能を提供する信頼できる DNS プロバイダーを使用します。

# Example of enabling DNSSEC on your domain using Cloudflare
# Visit your domain's DNS settings on Cloudflare
# Enable DNSSEC with a single click

2. IP スプーフィング
IP スプーフィングには、信頼できる IP アドレスになりすましてネットワーク トラフィックを傍受することが含まれます。

例：
攻撃者はサーバーの IP アドレスを偽装して、クライアントと Node.js サーバー間のトラフィックを傍受する可能性があります。

IP スプーフィングを防ぐ手順:

• IP ホワイトリストを実装して、信頼できる IP アドレスのみがサーバーと通信できるようにします。
• VPN やファイアウォールなどのネットワーク レベルのセキュリティ対策を使用します。
• サーバー上の IP アドレスが適切に検証され、フィルタリングされていることを確認します。

// Example of IP whitelisting in Express.js
const express = require('express');
const app = express();

const allowedIPs = ['123.45.67.89']; // Replace with your trusted IPs

app.use((req, res, next) => {
  const clientIP = req.ip;
  if (!allowedIPs.includes(clientIP)) {
    return res.status(403).send('Forbidden');
  }
  next();
});

// Your routes here

app.listen(3000, () => {
  console.log('Server is running on port 3000');
});

3. HTTPS スプーフィング
HTTPS スプーフィングには、安全な Web サイトになりすます偽の SSL 証明書の作成が含まれます。

例：
攻撃者は、xyz.com 用の偽の SSL 証明書を作成し、正規のサーバーと同一に見える悪意のあるサーバーをセットアップする可能性があります。

HTTPS スプーフィングを防ぐ手順:

• 証明書の透明性を使用して、ドメインに対して発行されたすべての証明書を監視し、記録します。
• HTTP 公開キー ピンニング (HPKP) を実装して、Web サーバーの暗号化公開キーを特定の HTTPS Web サイトのセットに関連付けます。

// Example of implementing HPKP in Express.js
const helmet = require('helmet');
const app = express();

app.use(helmet.hpkp({
  maxAge: 60 * 60 * 24 * 90, // 90 days
  sha256s: ['yourPublicKeyHash1', 'yourPublicKeyHash2'], // Replace with your public key hashes
  includeSubDomains: true
}));

// Your routes here

app.listen(3000, () => {
  console.log('Server is running on port 3000');
});

4. Wi-Fi 盗聴
Wi-Fi 盗聴には、安全でない Wi-Fi ネットワーク経由で送信されるデータの傍受が含まれます。

例：
ハッカーは悪意のある Wi-Fi ホットスポットを設定し、ユーザーが接続したときにサーバーとの間で送信されるデータを傍受する可能性があります。

Wi-Fi 盗聴を防ぐ手順:

• 安全な Wi-Fi ネットワークのみに接続するようユーザーに推奨します。
• エンドツーエンド暗号化 (E2EE) を実装して、クライアントとサーバー間で送信されるデータを保護します。
• VPN を使用して、クライアントとサーバー間のトラフィックを暗号化します。

// Example of enforcing HTTPS in Express.js
const express = require('express');
const app = express();

app.use((req, res, next) => {
  if (req.headers['x-forwarded-proto'] !== 'https') {
    return res.redirect(['https://', req.get('Host'), req.url].join(''));
  }
  next();
});

// Your routes here

app.listen(3000, () => {
  console.log('Server is running on port 3000');
});

JavaScript アプリケーションでの MitM 攻撃の防止

1.どこでも HTTPS を使用
クライアントとサーバー間のすべての通信が HTTPS を使用して暗号化されていることを確認します。 Let's Encrypt などのツールを使用して、無料の SSL/TLS 証明書を取得します。

// Enforce HTTPS in Express.js
const express = require('express');
const app = express();

app.use((req, res, next) => {
  if (req.headers['x-forwarded-proto'] !== 'https') {
    return res.redirect(['https://', req.get('Host'), req.url].join(''));
  }
  next();
});

// Your routes here

app.listen(3000, () => {
  console.log('Server is running on port 3000');
});

2. SSL/TLS 証明書を検証する
SSL/TLS 証明書に強力な検証を使用し、運用環境での自己署名証明書の使用を避けてください。

3.コンテンツ セキュリティ ポリシー (CSP) の実装
CSP ヘッダーを使用して、アプリケーションがリソースをロードできるソースを制限し、悪意のあるスクリプト インジェクションのリスクを軽減します。

// Setting CSP headers in Express.js
const helmet = require('helmet');
app.use(helmet.contentSecurityPolicy({
  directives: {
    defaultSrc: ["'self'"],
    scriptSrc: ["'self'", 'trusted.com'],
    styleSrc: ["'self'", 'trusted.com']
  }
}));

4.安全な Cookie を使用する
Cookie がクライアント側のスクリプトを通じてアクセスされないように、Cookie が Secure および HttpOnly としてマークされていることを確認してください。

// Setting secure cookies in Express.js
app.use(require('cookie-parser')());
app.use((req, res, next) => {
  res.cookie('session', 'token', { secure: true, httpOnly: true });
  next();
});

5. HSTS (HTTP Strict Transport Security) の実装
HSTS を使用して、ブラウザが HTTPS 経由でのみサーバーと通信するように強制します。

// Setting HSTS headers in Express.js
const helmet = require('helmet');
app.use(helmet.hsts({
  maxAge: 31536000, // 1 year
  includeSubDomains: true,
  preload: true
}));

中間者攻撃は、データの盗難やインジェクション攻撃につながり、Web アプリケーションに壊滅的な影響を与える可能性があります。これらの攻撃がどのように機能するかを理解し、堅牢なセキュリティ対策を実装することで、JavaScript アプリケーションを保護し、ユーザーのデータの安全性を確保できます。常に HTTPS を使用し、SSL/TLS 証明書を検証し、CSP を実装し、Cookie を保護し、HSTS を強制して、MitM 攻撃のリスクを軽減します。