MITコース「コンピューターシステムのセキュリティ」。 レクチャー11：Ur / Webプログラミング言語、パート2

マサチューセッツ工科大学。 講義コース6.858。 「コンピューターシステムのセキュリティ。」 ニコライ・ゼルドヴィッチ、ジェームズ・ミケンズ。 2014年

コンピューターシステムセキュリティは、安全なコンピューターシステムの開発と実装に関するコースです。 講義では、脅威モデル、セキュリティを危険にさらす攻撃、および最近の科学的研究に基づいたセキュリティ技術を扱います。 トピックには、オペレーティングシステム（OS）セキュリティ、機能、情報フロー管理、言語セキュリティ、ネットワークプロトコル、ハードウェアセキュリティ、およびWebアプリケーションセキュリティが含まれます。



講義1：「はじめに：脅威モデル」 パート1 / パート2 / パート3

講義2：「ハッカー攻撃の制御」 パート1 / パート2 / パート3

講義3：「バッファオーバーフロー：エクスプロイトと保護」 パート1 / パート2 / パート3

講義4：「特権の共有」 パート1 / パート2 / パート3

講義5：「セキュリティシステムはどこから来たのか？」 パート1 / パート2

講義6：「機会」 パート1 / パート2 / パート3

講義7：「ネイティブクライアントサンドボックス」 パート1 / パート2 / パート3

講義8：「ネットワークセキュリティモデル」 パート1 / パート2 / パート3

講義9：「Webアプリケーションのセキュリティ」 パート1 / パート2 / パート3

講義10：「シンボリック実行」 パート1 / パート2 / パート3

講義11：「Ur / Webプログラミング言語」 パート1 / パート2 / パート3



少し後で、偽のクロスサイトリクエストについて説明します。 講義ノートでは、クロスサイトスクリプティングがこのケースで機能しない理由を説明していると思います。 その理由は、構文の「ピース」を作成するときは常に、このオブジェクト、ツリー、およびこのツリーのさまざまな部分が単なる文字列ではないからです。







誤ってユーザー文字列を構造ツリーに変えることはできません。これは、このようなトランスレーターを書くのが難しいため、自動的に行われません。 ただし、Ur / Webの翻訳者を作成してみてください。 これについての懸念を軽減するのに役立つ例をすぐに示します。 この構文がコンパイラで実際にどのようになるかを示したいと思います。



HTMLを二重引用符で囲むだけで、通常の世界に戻ることができるように思えるかもしれません。 二重引用符をスキップして、代わりにXMLを配置することがなぜそれほど重要なのか疑問に思うかもしれません。



あなたは、これがそれがすることと同等のコードであるという私の言葉を信じることができます。 以下は、HTMLドキュメントのツリーノードを作成するインライン関数タグです。 次に、このノードにCSSスタイルを表す引数を配置します。 ここでは実際には何も起こりません。そのため、「なし」と言うにはさまざまな方法があります。属性は必要ありません。



次に、bodyタグを配置します。これは、標準ライブラリの別のものです。 すべての標準タグは、ライブラリのファーストクラスの機能です。







次に、本文に「Hello World」というテキストを挿入する必要があります。そのため、cdata関数を呼び出します。cdataは文字データのXMLワードまたは単なる文字列定数で、ここにテキストを配置できます。 これにより、以前と同じ結果が得られます。 これが機能するかどうか見てみましょう。



ここでページに戻ります。 前と同じものが表示されるため、これは関数が最初に実行したものと同じです。







これは単なるライン構築ではありません。 これにより、有効なHTMLのみを作成できるように設計された一連の操作が発生し、ページにあるはずのコンテンツを配置するだけでなく、文字列をコードとして暗黙的に解釈することはできなくなります。







ここで、懸念の対象となる可能性のある、それほど複雑でないことをしようとします。 世界を見るのは本当に幸せだと決めましょう。「hello」という単語を太字で強調表示して、もう一度編集します。







ページで何が起こったのかがわかります。マークアップの代わりにテキストがどのように解釈されるかをコンパイラが示すため、単語は太字になりませんでした。 これは、通常のコーディング規則を組み込まずに構文を構築する関数としてのHTML構文の表現です。 この関数は、あなた自身のことを何も考えずに、あなたが書きたいようにすべてを解釈します。



したがって、cdataの実装は、一般にエスケープまたは「エスケープ」と呼ばれることを行います。 しかし、プログラマーは、逃げるようなものがあることを知る必要はありません。 これは、ページを記述するオブジェクトツリーを作成するための便利な関数のセットと考えることができます。



ここで生成されるHTMLを見たいと聞いています。 さて、それは最もエキサイティングなことではありません。 画面上で拡大しようとしますが、1行に収まりません。







学生： XHTMLを使用している場合、手動で行うのではなく、cdata文字データのパスを使用できますか？



教授：おそらく、しかし、それは私が持っているものよりも多くのXMLを私から必要とするでしょう。 JavaScript URLについて別の良い質問がありました。 JavaScript URLを許可する場合、実行時に文字列をプログラムとして自動的に解釈するバックドアを作成します。 そして、それはあらゆる種類の問題を引き起こします。



それを避けましょう。 まず、短縮バージョンに切り替えて、体内に数行を作成します。 そして、適切なことをしようとするリンクを入れましょう。 ここで、エラーメッセージのためのスペースを残します。







次に、コンパイラーを実行して、その動作を確認します。







無効なURL、JavaScriptエントリ、および「passed to bless」または「passed blessing」というフレーズ。 Blessは、URLを解決するゲートキーパーである関数に組み込まれています。 デフォルトでは、URLは許可されていないため、もちろんこのオプションは許可されていません。 一般に、JavaScript URLを表す値を作成できるように、独自のURLポリシーを作成することはお勧めできません。 これらのアドレスが無効である可能性があるという事実により、その後、あらゆる種類の保証が必要になるためです。



これがどのように機能するかを少し明確にするために、このコードを、URLを受け入れるリンカーを呼び出す別の関数に分解します。 したがって、URLは文字列ではなくタイプです。 これは、アプリケーションのポリシーによって明示的に許可されているURLを示すタイプです。



人気のあるHTMLテンプレートフレームワークのように、中括弧を使用して、作成するHTML内にホスト言語からのコードを挿入することを示します。 そして、これはすべて、型が静的にチェックされるような方法で行われます。 そのため、システムは「はい、これはURLが属している場所であり、実際にはURLであると言っているので、すべて問題ありません」とチェックします。







そして、「このURLの「祝福」の結果に基づいて、ここでリンカー関数を呼び出しましょう」と言って、明示的に祝福の呼び出しを手配できます。 その後、以前と同じエラーメッセージが表示されます。







残念ながら、これを実行してクラッシュするまで待つことはできませんが、コンパイラエラーを意図的に作成したため、間違いなく失敗すると言うことができます。 このURLは、URLポリシーで受け入れられません。



このbless呼び出しを逃した場合、文字列と正しいURLがあり、それらは異なるタイプであるため、コンパイル時にさらに深刻なエラーになります。







もっと面白くしましょう。 このデモの構成ファイルを開きます。 少なくともJava Webアプリケーションフレームワークを見ると、かなり短いです。 構成用のこれらの巨大なXMLファイルがあるため、すべてが非常に優れています。







ウィキペディア上のすべてのものが許可されることを示すルールを追加してから、ウィキペディアのURLを本文に挿入できます。







ここでページに移動し、クリックしてくださいをクリックします。







取得したものは次のとおりです。ウィキペディアのアドレスが見つかりません。







したがって、主なアイデアは、ハッシュテーブルの外観のバリエーションをエンコードし、コードがハッシュテーブル配列に入らないようにする抽象タイプのハッシュテーブルを使用できるように、抽象タイプのURLを使用することです。 URLについても同じことができます。 このbless関数を使用して、システムはこのタイプのすべての値が、ある時点で適切なチェックに合格するようにします。



たとえば、このポリシーを使用すると、JavaScript URLを取得することはないため、URLの値を安全に取得してリンクとして使用できます。 これは、言語の基本的な抽象化を壊しません。



学生：本文文字列に「純粋な」JavaScriptを挿入して使用できますか？



教授：はい、いいえ。 JavaScriptの代わりに、何らかのタスクを実行するUr / Webコードを埋め込みます。 次のコマンドを入力します。

return <xml><body onload = {alert “LOADED”}>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

そして、あなたは何が起こったのかを見るでしょう-インタプリタは「Loaded」-「Loaded」という碑文のウィンドウを画面に配置しました。







文字列形式のJavaScriptコードをプログラムとして解釈しようとすることは悲惨なことです。 おわかりのように、これらの波括弧で既に制限されている、作業中のプログラミング言語と同じプログラミング言語のコードを配置できます。 そして、JavaScriptで自動的にコンパイルされ、クライアント側で実行されます。



ブラウザの新しいバージョンでは文字解釈エラーを回避できますが、一部の古いブラウザでは何かを混乱させる可能性があることに注意してください。 いずれにしても、すべての文字要素は、ドキュメントに入るとUTF-8として解釈されます。 別のエンコーディングに問題がある場合は、このエンコーディングをここに適用しないでください。



学生：コンパイラは、文字列に有効なURLが含まれているかどうかを確認します。 しかし、プログラムの実行中に文字列を計算する場合、特定の文字列が有効かどうかをプログラムの実行中にblessチェックしますか？



教授：このステートメントをテストするフォームを作成して、ここに配置してみましょう。 [URL]テキストボックスにURLを入力し、[送信]送信ボタンを挿入します。







クリックすると、フォーム内の各フィールドに1つの値を書き込んでリンカー関数が呼び出されます。 この場合、「URL」というフィールドが1つしかないため、リンカはURLを文字列型として含むエントリを処理します。 次に、bless関数を適用して、これが機能するかどうかを確認します。







間違ったタイプのURLを入力すると、エラーメッセージの例が表示されます。これは、Haskellに精通していないと意味をなさないものの1つです。 ここに戻り関数を挿入するのを忘れました。 少なくとも今はJavaプログラムに似ています。 そして、今では完全なページであると言うのを忘れていました。 したがって、bodyタグの内側になるまでaタグを使用できません。







コンパイラを実行し、ページに移動して、[クリックしてください]ボタンをクリックし、存在しないアドレスを入力してください。







次に、[クエリの送信]-[リクエストの送信]をクリックしてエラーメッセージを取得します-このタイプのアドレスは解決されません。







次の画面に示すように正しいURLを入力し、[クエリの送信]をクリックすると、エラーメッセージは表示されません。







あなたの質問への答えは長く、刺激的ではないと思います。



学生： JavaScriptの使用が禁止されていること以外に、URLにもっと厳しい条件はありますか？

教授：現在、より厳しい制限は単に定数とプレフィックスです。 ただし、独自の禁止ルールを作成することもできます。これらのルールは、記述した順序で機能します。



学生： JavaScriptの禁止に固執しているが、「JavaScript」という単語の途中に改行を入れると、コンパイラがこれを解釈できることがわかります...



教授：はい、それはあまりにも悪いでしょう。 そのため、ブラックリストアプローチを使用するのではなく、ホワイトリストアプローチを使用することをお勧めします。 おそらく、すべてのルールをHTTPなどの特定のプロトコルで開始し、承認済みのプロトコルスイートに適合するもののみを許可する必要があります。 私はそれをすることをお勧めします。



学生：多くのサイトでは、ユーザーがリンクを交換できるようにすることができます。この場合、どこでもリンクを許可する必要があります。



教授：ユーザーにJavaScriptリンクを共有させたい場合、リンクを許可できます。 ご覧のとおり、すべてのHTTP、HTTPS、URLの「ホワイトリスト」を作成して、ほとんどのサイトの安全な運用を確保できます。 このアプローチは、特定のURLのみを許可するよりもわずかに弱いだけです。 しかし、少なくとも、行をプログラムとして自動的に実行する可能性を完全に排除できます。



データベースに表示される簡単なチャットルームシステムの例である概要の一例を紹介しましょう。 ユーザーはリンクをクリックして会議室に移動し、メッセージを送信できます。 これは、スキームのいくつかのオプションの最初のものです。







まず、これを再コンパイルすることに注意してください。 そして魔法のように、宣言されたすべてのデータベーステーブルがデータベースに追加され、アプリケーションの使用を開始できます。 ただし、最初にチャットルームを追加する必要があります。 それでは、デモデータベースへのインターフェイスを開いて、テーブルルームに値「1」と「2」を挿入しましょう。







ここに登場しました。







これで、最初のチャットルームに移動し、テキストの行（たとえば、最初の行）を送信することで1日中楽しませることができます。 HTMLを送信しようとするとより興味深いものになり、すぐに処理されます。 これは、プログラムの主な機能の例です。







もう一度、それがどのように機能するかを簡単に見てみましょう。これら2つのSQLテーブル（テーブルルームとテーブルメッセージ）があります。これらは、プログラミング言語内のこの最初のクラスで単に宣言されます。 そして、各テーブルの図を示します。 そして、これらのテーブルにアクセスしようとすると、コンパイラは有望な型付けスキームに従ってアクセスされるようにします。







したがって、部屋のテーブルがあります。各部屋は、整数である識別子IDと文字列であるタイトルで構成されるレコードです。 これは、単にレコードを作成したビューのタイプです。 SQLコンソールにいくつかの部屋を作成しました。 また、各メッセージが特定のルームに属していること、作成された時間、メッセージの内容であるテキストについての通知もあります。

ここで、メイン関数にすばやくジャンプします。







SQLクエリを実行します-Ur / Webに組み込まれたSQL構文の例をご覧ください。 標準ライブラリからこの拡張機能を介して関数呼び出しに行きたくない。 かなり冗長です。標準ライブラリには、SQLクエリを作成するための有効な方法である関数を呼び出すためのメソッドがあるという事実について、私の言葉を思い出すのに十分です。



そして、これらの関数には、構文が有効であることを保証するだけでなく、要求を出力するタイプがあります。 このコードは、このクエリから出たすべての行を単純に繰り返し、それぞれのHTMLコードの一部を生成します。



特に、クエリ結果をTitleフィールドに配置し、中括弧を含む表記法でHTMLに変換します。 さらに、角括弧は、これがまだ実際のHTMLではないことを示していますが、標準的な方法で変換してください。 したがって、文字列と整数、および他のタイプのすべてのデータを使用できます。



学生：悪意のあるHTMLなどが含まれている場合、除外されますか？



教授：はい、そうです。 Ur / Webでは、ツリーの構築と考えることができます。 これは、いくつかのテキストを表すノードです。 明らかに、テキストは何もできません。



学生：それで、このヘッダーがユーザーの制御下にあり、誰かが見出しAlertとチャットした場合、JavaScriptではないでしょうか？



教授： JavaScript、HTML、その他として自動的に解釈されることはありません。 プログラムはプレーンテキストとして認識します。



それでは、画面イメージに戻りましょう。 このタイトルはタイトルです。タグで囲みましょう。 また、通常のHTMLでのリンク方法であるhrefの代わりに、link属性を使用します。これは、URLではなく、主にUr / Web式を引数とする一種のur / web疑似属性です。 重要なのは、このリンクをクリックすると、この式が起動されて表示される新しいページが作成されるということです。

この場合、次の画面でここで定義されているチャット機能を呼び出します。これがそれです。







詳細は説明しません。 ただし、要求された結果をさまざまな方法で使用するために、さまざまな標準ライブラリ関数を使用したSQLクエリがいくつかあります。



このHTMLページを生成し、そのようなタイトルタイトルとチャットしていると言います。ユーザーがテキストを入力できるフォームフォームがあります。 これは、数分前にプログラムがどのように機能するかを示すために使用したフォームです。 フォーム送信ボタンには、say / Ur / Web関数の名前を含むこの追加属性があります。 したがって、フォームを送信するときに、この関数を呼び出します。



さらにいくつかのSQLを実行すると、テーブルに新しい行が挿入されます。 チャットルームIDからフォームからここに来たテキストフィールドに自動的にジャンプし、必要に応じて自動的に非表示になります。 ただし、Ur / Webでは、この方法で関数を「エスケープ」することを考える必要はありません。 それは文字列ではなく、ツリーを構築するための単なる構文だからです。 したがって、構文を解釈するための選択された方法から予期しない構文解析に奇妙なことが起こる可能性はありません。



したがって、グラフィカルGUIの形式でこのフォームにウィジェットがあり、これがテキストフィールドであるという事実により、コンパイラは、テキストボックスフォームに入力した結果のレコードには、文字列型の「テキスト」という1つの要素が必要であると結論付けます。 このフォームのエンコードとその入力規則は言語に組み込まれていませんが、実際にこれらのフォームを制御し、有効な関数のタイプを決定するUrエクスプレスライブラリから取得されます。

プログラムのこの部分についてこれ以上質問がない場合は、次のステップに進みます。 Ur / Webをサポートし、他の言語をほとんどサポートしないアプリケーションのさまざまな部分を強制的にカプセル化する方法を使用します。 私はこの部屋を取るつもりです。 いくつかの定義を取り、それらのいくつかをプライベートとしてカプセル化するモジュールに入れます。 特に、データベーステーブルはプライベートであるため、誰も直接アクセスできません。



これらにアクセスするには、当社が提供する一連のメソッドを使用する必要があります。 1つのメソッドはトランザクション内で実行され、使用可能なチャットルームのIDおよびタイトルフィールドを持つレコードのリストを作成します。



次に、このチャット操作を拡張します。 そして、ここで行った唯一のことは、コンセプトIDの名前を入力することでした-タイプID。 したがって、IDが整数であると言っているのではなく、これが新しい型であると言っています。







外の世界がチャットに連絡できる唯一の方法は、すべての部屋のリストを取得することであり、外の世界がそれを使用できる唯一の方法は、チャット機能を呼び出すことです。 これは、ハッシュテーブルクラス内の抽象的なタイプのハッシュテーブルであり、IDが何であるか、内部でどのように生成されるかを説明する詳細が格納され、このモジュールに対してプライベートであり、このモジュールを呼び出すクライアントコードはそれらを使用すべきではないとしましょう。



ここで、このすべての構文を転送してモジュール内に配置し、デフォルトで残りのコードに公開されないようにします。 次に、この部屋のメソッドを実装します。 すでにチャットを整理する機会があります。 しかし、現在のフォームのリクエストを解釈するための別の標準ライブラリ関数を使用して、より簡単な方法でルームを実装できます。

名前でソートされた部屋のリストからすべてを選択してみましょう。 通常、このリクエストは検証済みのデータ型です。 システムは、「OK、この式は、このモジュールの署名で宣言されたタイプに一致するレコードのリストを生成します。」と判断します。 そのため、このモジュール以外では、他のコードでルームテーブルまたはメッセージテーブルに言及することはできません。







したがって、少なくともこのアプリケーションの観点からは、そこから必要な不変性を適用できます。 モジュール内に秘密を隠して、コードの他の部分がそれらを取得できる場合にセキュリティ上の問題が発生しないようにすることもできます。



学生：他のコードでもこのルームメソッドを実装できますか？



教授：それはまったく別のテーブルになります。 実際、このような4行のフラグメントを別のモジュールに挿入することでこれを行うことができます。







その後、このテーブルで何でもできます。 おそらく30秒後にコンパイルし、何が起こるかを確認します。 しかし実際には、これは同じプライベート名を持っているかのように、2つの異なるJavaクラス用の異なるテーブルです。



したがって、このモジュール内には、roomと呼ばれる抽象タイプがあり、ID識別子とタイトルタイトルが含まれていると仮定します。 これは正しくありません。 チャットは、部屋のパラメーターを入力として受け入れます。 チャット機能を呼び出すと、URLを介して呼び出されます。 IDとタイトルは、関数呼び出しを行うURLの表現の外に渡されます。 この機能を実装するために必要なのはIDだけです。 したがって、関数を呼び出すときは、実際にURLを呼び出します。

URLを使用してチャットを呼び出すときにヘッダーが追加の引数として渡されると、スペースの使用量が無駄になり、ユーザーにとっては失礼に見えます。 それは理にかなっていますか？ このスライドのURLバーを見てみましょう。







フォローしているチャンネルの識別子は、行末のURLに自動的にシリアル化されます。 IDとタイトルTitleを含むレコードを送信した場合、そのタイトルもシリアル化されますが、これは少なくとも少し非論理的です。



54:10



MITコース「コンピューターシステムのセキュリティ」。 講義11：Ur / Webプログラミング言語、パート3





コースの完全版はこちらから入手できます 。



ご滞在いただきありがとうございます。 私たちの記事が好きですか？ より興味深い資料を見たいですか？ 注文するか、友人に推奨することで、私たちをサポートします。私たちがあなたのために発明したエントリーレベルのサーバーのユニークな類似品のHabrユーザーのために30％割引： VPS（KVM）E5-2650 v4（6 Cores）10GB DDR4 240GB SSD 1Gbpsについて20ドルまたはサーバーを分割する方法？ （オプションはRAID1およびRAID10、最大24コア、最大40GB DDR4で利用可能です）。



VPS（KVM）E5-2650 v4（6コア）10GB DDR4 240GB SSD 1Gbpsまで 6か月の期間を支払う場合は12月まで無料で 、 ここで注文できます 。



Dell R730xdは2倍安いですか？ オランダと米国で249ドルからIntel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 TVを2台持っているだけです！ インフラストラクチャの構築方法について読む クラスRは、1米ドルで9,000ユーロのDell R730xd E5-2650 v4サーバーを使用していますか？