Web アプリ開発セキュリティ・ベストプラクティス

Web アプリでユーザー認証や Canister コールを自分で実装するのは、エラーが起こりやすくリスクが高いです。例えば、Canister コールをゼロから実装した場合、署名の作成や検証に関するバグが発生する可能性があります。

現在、Internet Identity は有効期限付きの委任を発行しています。この有効期限は、 auth-client で設定することができます。委任の有効期限が切れると、ユーザーは再認証する必要があります。適切な値を設定することは、セキュリティとユーザビリティのトレードオフです。

OWASP Recommendations を参照してください。セキュリティに敏感なアプリケーションでは、30分のタイムアウトを設定する必要があります。

Note：アイドルタイムアウトは近々導入されるかもしれません。ここ を参照してください。

agent-js で agent.fetchRootKey() を使用すると、テスト環境において、ステータスコールからルートサブネット閾値公開鍵を取得することが可能です。この鍵は Canister のアップデートコールで受信した認証データの閾値署名を検証するために使用されます。この方法をプロダクション環境の Web アプリで使用すると、攻撃者は自分の公開鍵を提供することができ、アップデートレスポンスのすべての信頼性保証を無効にすることができます。

実運用環境では決して agent.fetchRootKey() を使用せず、テストビルドのときだけ使用します。このメソッドを呼び出さない場合、ハードコーディングされたメインネットのルートサブネット公開鍵が署名検証に使用されることになります。

信頼できない情報源（ユーザーなど）からのデータの入力検証を怠ると、不正なデータが保存され、ユーザーに配信される可能性があります。これは、DoS、インジェクション攻撃、フィッシングなどにつながる可能性があります。

<canister-id>.ic0.app 以外のドメインから信頼されていない JavaScript を読み込むことは、そのドメインを完全に信頼することを意味します。また、これらのドメイン（<canister-id>.raw.ic0.app を含む）から読み込まれたアセットはアセット認証を使用しません。

もし、悪意のある JavaScript を配信した場合、LocalStorage から agent-js が管理する秘密鍵を読み取るなどして、Web アプリまたはアカウントを乗っ取ることができます。

信頼できないドメインから CSS などの他のアセットを読み込むことは、セキュリティリスクであることに注意してください。例えば、ここ を参照してください。

セキュリティヘッダは多くのセキュリティに関する問題の対応に使用されます。例えば、クリックジャッキングからの防御、TLSの強制、信頼できないドメインからの JavaScript または他のコンテンツがブラウザで実行しないようにするなどです。これらのヘッダーを適切に設定しないと、明確なセキュリティ上の問題が発生し、多層防御が失われます。

ブラウザのストレージ （sessionStorage や localStorage など）に鍵を保存することは、これらの鍵に JavaScript コードがアクセスできるため、安全でないと考えられています。これは、XSS 攻撃や、他のドメインから信頼できないスクリプトを読み込むときに起こる可能性があります（ 信頼できないドメインから JavaScript（およびその他のアセット）を読み込まない も参照して下さい）。

WebCrypto API を使用して、JavaScript からキーマテリアルを隠します。generateKey で extractable=false を使用します。これ を参照してください。この例は、People Parties プロジェクトで見ることができます。ここ を参照してください。これにより、JavaScript から秘密鍵にアクセスすることは不可能になります。

最近の Web フレームワークは、Web ページに表示される潜在的なユーザー提供のデータを安全にエスケープ／サニタイズするため、XSS のような攻撃を非常に難しくしています。このようなフレームワークを使用しないことは、XSS のような攻撃を回避することが困難であるため危険です。

ユーザーによるログアウト操作が有効でない場合、例えば、共有または公共のデバイスが使用されている場合、アカウントの乗っ取りにつながる可能性があります。

そうでない場合、ユーザーは誤って機密性の高いアクションを実行する可能性があります。