AuthProbe: Specification-Driven, Multi-Identity Detection of Broken Object-Level Authorization in Recruitment API

インターネットを、あらゆる建物が異なるサービスであり、その中には何百万もの小さな、プライベートなロッカーが入っている、巨大で賑やかな都市だと想像してみてください。あるロッカーにはあなたの写真が入っており、別のロッカーにはあなたの採用応募書類が入っており、また別のロッカーにはあなたの医療記録が入っています。この都市では、建物の入り口に警備員が立っており、あなたがその建物に入る資格があるかどうかを確認するためにIDをチェックしています。しかし、ここからが厄解なところです。建物に入るための有効なIDを持っているからといって、中のすべてのロッカーを開ける権利があるとは限りません。「壊れたオブジェクトレベルの認可（Broken Object-Level Authorization: BOLA）」という欠陥は、入り口でIDをチェックしてはくれるものの、そのまま廊下を進んで、たとえ他人のものであっても好きなロッカーを開けさせてしまう警備員のようなものです。これは重大な問題です。なぜなら、見知らぬ人が鍵を壊したりピッキングしたりすることなく、ただ要求するだけで、システムが混乱して「はい」と言ってしまうために、あなたの個人データを盗み取られてしまう可能性があるからです。

長年、セキュリティの専門家たちは、より優れた警備員を構築しようとしてきました。彼らは「既知の悪い奴」が特定のマスクを被っているかどうかを見分ける「ファイアウォール」を使用したり、「スキャナー」を使って一人の人物になりきって建物の中を歩き回ったりしています。しかし、これらのツールはしば取な真の危険を見逃すことがよくあります。なぜなら、泥棒は恐ろしいマスクや壊れた鍵を必要とするのではなく、完璧に有効なIDを身に着けた状態で、自分のものではないロッカーを要求するだけで済むからです。この論文は、AuthProbeと呼ばれる新しい種類のセキュリティテスターを紹介しています。AuthProbeを、単一の警備員ではなく、瞬時に正体を切り替えられるスパイのチームだと考えてください。彼らは一度建物の中を歩くだけではありません。彼らは「アリス」として歩き回り、アリスがどのロッカーを開けられるかを確認し、次に瞬時に「ボブ」へと切り替わり、アリスのロッカーを開けようと試みます。もしボブがアリスのロッカーを開けられるなら、システムに壊れた認可の欠陥があるということであり、AuthProbeはそれを即座に捉えます。

論文の核心的なアイデア：正体切り替え型の探偵

この論文は、求人応募や採用データを取り扱うコンピュータシステムにおける、これら特定のセキュリティホールを捜索するために設計された、無料のオープンソースツールであるAuthProbeを提示しています。研究者たちがこのツールを構築したのは、既存のセキュリティスキャナーが非常に巧妙なタイプの窃盗を見逃していることに気づいたためです。

AuthProbeの仕組みを、簡単な比喩を用いて説明します。本を借りることができる図書館を想像してください。通常のセキュリティスキャナーは「学生A」として入り、本を借りて、「よし、学生Aは本を借りることができる。問題なし！」と言います。しかし、そのスキャナーは、学生Aが「学生B」の予約済み書籍を借りる権利があるかどうかまでは知りません。

AuthProbeは異なります。まず、図書館の公式なルールブック（OpenAPI仕様と呼ばれます）を読み込みます。これには、あらゆる種類の本と、それらをどのようにリクエストするかというリストが含まれています。次に、二人以上の「テスター」（ここではアリスとボブと呼びます）を投入します。

1. 発見フェーズ： AuthProbeはアリスに「あなたの個人的な積み荷にはどんな本がありますか？」と尋ね、そのリストを記録します。ボブに対しても同じことを行います。これで、どの本が誰に属しているのかを正確に把握します。
2. 切り替え： 次に、AuthProbeはアリスに対し、ボブの所有する本を借りようと試みるよう指示します。
3. 証明： もし図書館のシステムがアリスに対して「こちらがボブの本です」と回答した場合、AuthProbeは何か問題があると判断します。それは単なる推測ではなく、ボブにその本を取りに行かせて「本物」のバージョンがどのようなものかを確認することで、二重にチェックを行います。もしアリスが手に入れた本がボブの所有するものと一致すれば、AuthProbeは**壊れたオブジェクトレベルの認可（BOLA）**の漏洩を発見したことになります。

このツールが見つけたもの（および見つけられなかったもの）

研究者たちは、ラボ内に構築した2つの架空の採用システムを用いてAuthProbeをテストしました。一方のシステムは、何百万人もの求職者のデータが露出するという現実世界の災難を模して、意図的に壊されています。もう一方のシステムは「要塞化（hardened）」されており、つまり正しいセキュリティチェックで修正されています。

• 壊れたシステムにおいて： AuthProbeは、仕掛けられたすべての欠陥を見つけ出しました。それは、「アリス」が「ボブ」のプライベートなチャットの記録や連絡先を閲覧できることを正常に示しました。また、システムが単純で予測可能な数字（1, 2, 3など）をIDとして使用していたことも発見しました。これは、泥棒が次の数字を推測するだけで、さらに多くのデータを盗めることを意味します。
• 修正されたシステムにおいて： AuthProbeはゼロの問題を発見しました。ツールはデータを盗もうと試みましたが、システムは正しく「いいえ、それは見ることができません」と回答しました。これは極めて重要です。なぜなら、AuthProbeは決して「オオカミ少年」にはならず、完全に確信を持ったときにのみ問題を報告することを意味しているからです。

論文では、ツールの速度についても測定しています。彼らは1個から50個のアイテムを保持するシステムでテストを行いました。スキャンにかかる時間は直線的に増加しました。つまり、アイテムの数が増えるにつれて、時間も比例して増えていきました。例えば、50個のアイテムを持つシステムのスキャンには約114ミリ秒（1秒のほんの一部）しかかかりませんでした。このことは、AuthProbeがソフトウェアの新しいバージョンがリリースされる前の最終的な安全ゲートとして、自動的に使用できるほど高速であることを示唆しています。

なぜこれが重要なのか

この論文は、現在のほとんどのセキュリティツールは、マスクを被っていたり武器を持っていたりする人物を探すだけの警備員のようなものであると主張しています。彼らは、正当な制服を着ているものの、自分のものではないロッカーを盗もうとしている人物を見逃してしまいます。AuthProbeは、「複数のアイデンティティ」というトリックを用いることで、これを解決します。この特定のタイプの窃盗を捕まえるには、同時に二人の異なる人物になりきる必要があることを証明しています。

研究者たちは、AuthProbeがブラックボックスツールであることを注意深く述べています。これは、動作するためにコンピュータの内部コードを見る必要がないことを意味しており、使用しているソフトウェアのソースコードにアクセスできない企業にとっても非常に有用であることを示しています。しかし、論文ではその限界についても認めています。それは、ツールが見て名前を付けることができるものしかテストできないということです。もしシステムがデータのリストを完全に隠蔽していたり、推測不可能な秘密のコードをIDに使用していたりする場合、AuthProbeは何のテストも見つけられない可能性があります。これは、他のセキュリティツールに取って代わるものではなく、それらのパートナーとなるように設計されています。

要約すると、AuthProbeは、ウェブサイトにログインした際に、自分のデータだけが見え、他人のデータは見えないことを保証するための、新しい自動化された方法です。それは複雑なセキュリティ問題を、シンプルで再現可能なチェックへと変え、巧妙な泥棒から求職者のプライベートな情報を守るために自動的に実行できるものにしています。