web security

1. BKC
セキュリティ：HPKP
HTTP Public Key Pinning

2. サイバー攻撃の手法は、いろいろあります。
そのためWebのセキュリティと一口に言ってもい
ろいろあります。
このスライドは数あるセキュリティからWebサイ
トやWebアプリを作成する上で必要になりそうな
ものを紹介していきます。
今回はHPKP(HTTP Public Key Panning)です。

3. 認証局

4. ウェブ上での鍵の受け渡し問題を解決するために
できた公開鍵暗号方式ですが、これも渡された公
開鍵が本当に正しいものである真正性が問題にな
ります。
自分が利用していたのが偽のアマゾンの公開鍵で
したという事は公開鍵を使っているだけなら起き
得ます。
公開鍵の真正性
僕はアマゾンだよ！
怪しい。

5. TLSで用いられるサーバーの公開鍵の真正性を担保
するために認証局(CA)の証明書でラップするのが
一般的です。
認証局はとても強固なセキュリティで守られてい
るので、ブラウザは認証局の証明書を手放しで信
用できるという仕組みです。
公開鍵の真正性
この鍵はちゃんとしたアマゾン
の鍵だよ！

6. 認証局はとても強固ですが、破れないわけではあ
りません。
実際に認証局が破られた事例もあるみたいです。
認証局が破られると認証局になりすますことが可
能になります。
認証局は破れない？
ああ〜ーー！

7. HPKP
HTTP Public Key Punning

8. HPKPをサーバーに設定することで認証局なりすましを防
ぐことが出来ます。
HPKPが設定されたサーバーは鍵交換時に公開鍵のハッシ
ュ値をブラウザに渡し、ブラウザでも保存するように要
求します。
次回からはサーバーから送られてきた認証済みの公開鍵
とブラウザが保存している公開鍵のハッシュ値を照合す
ることで確認できます。
HPKPをサーバーに設定
認証局も完璧じゃないし、
あんたも覚えときなよ。

9. 証明書の失効・更新の際にハッシュが合わなくなる。
それを防ぐために先にバックアップハッシュを付与した
り運用負荷が高い。
HPKPの問題点
証明書が失効されたり更新した時のこと考える
とあーだこーだ💦