Posted inセキュリティ

Nginxの要塞化：CSP、HSTS、Permissions-Policyでクリックジャッキングとインジェクションを阻止する

Security tutorial - IT technology blog
Security tutorial - IT technology blog

デフォルトのNginx設定に潜む脆弱性

新しいNginxのセットアップで「200 OK」が返ってくるのを確認するのは、実に気持ちの良いものです。私自身、何度も経験があります。しかし、正常に動作しているからといって、サーバーが安全であるとは限りません。デフォルト設定のまま運用することは、いわば玄関の鍵をかけずに外出するようなものです。これにより、ユーザーはクリックジャッキングやクロスサイトスクリプティング（XSS）の危険にさらされます。実際、最近のバグバウンティ（脆弱性報奨金制度）のレポートでは、Webの脆弱性の約40%をこれらが占めています。

現代のセキュリティは進化しています。もはやPythonやNode.jsで書かれたバックエンドコードを保護するだけでは不十分です。ブラウザがコンテンツとどのように相互作用するかを、能動的に管理する必要があります. セキュリティヘッダーは、訪問者のブラウザに対する具体的な「指示書」として機能します。何を信頼し、何をブロックすべきかを定義するのです。これらがないと、ブラウザはすべてのスクリプトやiframeを安全なものと見なしてしまいますが、これは非常に危険な間違いです。

以前、巧妙なクリックジャッキング攻撃に直面したプロジェクトに関わったことがあります。攻撃者は「無料ギフトカード」サイトの見えない iframe の中に、私たちのログインページを埋め込みました。ユーザーは賞品ボタンをクリックしているつもりで、実際には私たちのフォームに認証情報を送信していたのです。この事件は、サーバー側のロジックだけでは戦いの半分に過ぎないことを証明しました。HTTPヘッダーを通じて、ブラウザの挙動を制御しなければならないのです。

コアコンセプト：セキュリティヘッダーのツールキット

設定ファイルを編集する前に、どのツールが重要かを知る必要があります。Nginxの要塞化において、特に重要な役割を果たすのがHSTS、CSP、Permissions-Policyの3つのヘッダーです。

1. HSTS (HTTP Strict Transport Security)

HSTSは、ブラウザに対してHTTPS経由のみで通信することを強制します。ユーザーが http:// と入力したとしても、リクエストがマシンから送信される前にブラウザ内部でリダイレクトが行われます。これにより、中間者攻撃（MITM）を効果的に阻止し、「SSLストリッピング」を防止します。また、サーバー側での301リダイレクトをスキップできるため、レイテンシを約50ms削減できるというメリットもあります。

2. CSP (Content Security Policy)

CSPは、XSSに対する最強の防御策です。スクリプト、スタイル、画像などの信頼できるソースのホワイトリストを作成できます. ハッカーが承認されていない外部CDNから悪意のあるスクリプトを読み込もうとしても、ブラウザがその実行をブロックします。

3. Permissions-Policy

このヘッダーは、サイトが使用できるハードウェア機能を制限します。アプリケーションでカメラ、マイク、位置情報が必要ない場合は、それらを完全に無効化しましょう。これにより「攻撃対象領域（アタックサーフェス）」を制限できます。万が一フロントエンドのコードに脆弱性が見つかったとしても、攻撃者がユーザーを盗撮したり盗聴したりすることはできなくなります。

実践：Nginxの設定

本番環境の設定を触る前に、管理者用認証情報が非常に強固であることを確認してください。私はサーバーのパスワード生成に、toolcraft.app/ja/tools/security/password-generator のブラウザベースのジェネレーターを使用しています。エントロピーをローカルで生成するため、機密データがネットワークに流れることはありません。アクセスの安全が確保できたら、Nginxの設定ファイルを開きましょう。

ステップ1：HSTSの実装

HSTSを有効にするには、serverブロックに以下の行を追加します。ほとんどの本番サイトでは、有効期限を1年に設定します。サイトの設定ファイル（通常は /etc/nginx/sites-available/ 内）を開き、以下を追記してください。

server {
    listen 443 ssl http2;
    server_name example.com;

    # HSTS (有効期限1年)
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

    # その他の設定...
}

always パラメータは極めて重要です。これにより、404や500エラーページでもヘッダーが送信されるようになります。preload フラグは、ドメインをGoogleのHSTSプリロードリストに登録することを許可し、最大限のセキュリティを確保するためのものです。

ステップ2：クリックジャッキングとスニッフィングの阻止

CSPでも多くの部分をカバーできますが、X-Frame-Options は古いブラウザに対するセーフティネットとなります。以下の2行を使用して、フレーミング（埋め込み）と強制的なMIMEタイプの変更を防止します。

add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;

nosniff ヘッダーは、ブラウザがファイルタイプを推測しようとするのを止めさせます。これにより、攻撃者が悪意のあるスクリプトを無害な画像ファイルに見せかけるのを防ぐことができます。

ステップ3：コンテンツセキュリティポリシー（CSP）の構築

CSPは厳格に設定しすぎると動作に影響するため、まずは自ドメインと信頼できる外部アセットのみを許可するポリシーから始めましょう。現代的なサイト向けの堅実な開始点は以下の通りです。

add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://scripts.trusted.com; object-src 'none'; frame-ancestors 'self';" always;
  • default-src 'self': デフォルトで自ドメインのみを信頼します。
  • object-src 'none': 脆弱性の原因になりやすいFlashなどのレガシープラグインを無効にします。
  • frame-ancestors 'self': 主要なブラウザすべてにおいてクリックジャッキングを防止するための現代的な手法です。

ステップ4：ハードウェアアクセスの制限

最後に、機密性の高いセンサーへのアクセスを遮断します。Permissions-Policyヘッダーを使用して、使用しない機能をオプトアウトします。

add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), interest-cohort=()" always;

interest-cohort=() の部分に注目してください。これはGoogleのFLoCトラッキングをオプトアウトするための設定で、プライバシーを重視する開発者によく選ばれています。

テストと検証

構文チェックを行わずにNginxをリロードしてはいけません。セミコロンが一つ抜けているだけで、Webサーバーがダウンしてしまいます。次のコマンドを実行してください。

sudo nginx -t

テストに合格したら、サービスをリロードして変更を適用します。

sudo systemctl reload nginx

curl を使用して、ヘッダーが有効であることを確認します。レスポンスの中に新しく追加したセキュリティ行があるか探してください。

curl -I https://yourdomain.com

長期的な運用：メンテナンス

セキュリティは一度きりの作業ではなく、継続的なプロセスです。YouTubeの埋め込みや新しい分析ツールを追加すると、最初はCSPによってブロックされる可能性があります。その都度、ホワイトリストを更新する必要があります。週に一度はログを確認し、CSP違反のレポートが出ていないかチェックすることをお勧めします。

これらのヘッダーを実装することで、単なる「ホスティング」から「能動的な保護」へとステップアップできます. 設定のデプロイには10分もかかりませんが、それによってデータインジェクション攻撃の成功による広報上の大打撃や技術的負債から身を守ることができるのです。

Share:
Tags: