ハードウェアおよびデバイスの固有IDは、データを消去したり、出荷時の状態に初期化しても、変化しません。ユーザーの認可または認証で使用される一意の ID を生成する場合、データ消去や初期化に依存しないでください。

また、個人情報を伴う可能性があるUUIDをリークさせると、ユーザーのプライバシーおよびセキュリティに脅威を与えます。

AngularJS などの特定のフレームワークでは、他のサイトおよび画像のリンクに設定できるプロトコルが制限されます。これは主に、インライン JavaScript の実行を防止して、アプリケーション内でCross-site Scriptingの脆弱性が高まらないようにするためのものです。

例 1: 次の例では、AngularJS 内のプロトコルからなるデフォルトの許可リストを変更して、画像 HTML の要素からもインライン JavaScript を許可できるようにします。

myModule.config(function($compileProvider){
    $compileProvider.imgSrcSanitizationWhitelist(/^(http(s)?|javascript):.*/);
});

Strict Contextual Escaping (SCE) は、AngularJS アプリケーションのメカニズムであり、攻撃者からアプリケーションを保護するのに役立ちます。これにより、さまざまな種類の脆弱性を対象とした数々の攻撃を防ぐことができます。最も突出した保護は、特定の種類の Cross-Site Scripting 攻撃に対するものです。このアプリケーションでは、この保護メカニズムが明確に無効になっています。

例 1: この例では、モジュール上で SCE を無効にしています。

myModule.config(function($sceProvider){
  $sceProvider.enabled(false);
});

このコードは、"permessage-deflate" の WebSocket 拡張機能を有効にする DangerousEnableCompression を true に設定します。暗号化された接続を介してこの圧縮を有効にすると、アプリケーションは CRIME 攻撃や BREACH 攻撃を受ける危険にさらされます。

例 1: 次のコードは、DangerousEnableCompression を true に設定します。

    app.Run(async context => {
      using var websocket = await context.WebSockets.AcceptWebSocketAsync(new WebSocketAcceptContext() { DangerousEnableCompression = true });
      await websocket.SendAsync(...);
      await websocket.ReceiveAsync(...);
      await websocket.CloseAsync(WebSocketCloseStatus.NormalClosure, null, default);
    });
    

Microsoft ASP.NET アプリケーションでは、昇格された権限で操作を実行するために、現在のユーザーやプロセスのセキュリティコンテキストを偽装できます。必要となる Authentication 試行の総回数の削減など、コンテキストの偽装は有用な各種の目的に使用できますが、昇格した権限が不適切にそのままとなってしまうプログラムでは、システム全体のセキュリティリスクが高まることになります。プログラムが別のセキュリティコンテキストで実行しているときに、攻撃者がこのプログラムの別の脆弱性を悪用すると、攻撃者が実行する許可されていない操作すべてが、昇格した権限で実行されます。

例 1: 次のコード例は、システムに常に WindowsIdentity.Impersonate() メソッドを使用して認証情報を偽装する通常の使用パターンを示しています。

using System.Security.Principal;
...

//Get the identity of the current user
IIdentity contextId = HttpContext.Current.User.Identity;
WindowsIdentity userId = (WindowsIdentity)contextId;

//Temporarily impersonate
WindowsImpersonationContext imp = userId.Impersonate();

//Perform tasks using the caller's security context
DoSecuritySensitiveTasks();

//Clean up and restore our old security context
impersonate.Undo();

Example 1 のコードは、現在のユーザーのセキュリティコンテキストを偽装して、昇格した操作を実行するためにこの偽装した権限を使用しています。DoSecuritySensitiveTasks() をコールした後、コードは元のセキュリティコンテキストに戻そうとしますが、DoSecuritySensitiveTasks() で例外が発生する場合、Undo() メソッドはコールされることがなく、プログラムは引き続き偽装されたセキュリティコンテキストを使用することになります。

イベント検証は、ポストバック要求内のイベント コントロールを検証して、コントロールが最初のページ読み込み時に表示されたときと同じであることを保証する ASP.NET のセキュリティ機能です。この機能が無効になっていると、攻撃者が、改ざんされたイベント コントロールを使用してクロスサイト リクエスト フォージェリ攻撃を実行し、不正アクセスや Cross-Site Scripting 攻撃などを引き起こす可能性があります。

例 1: 次の Web アプリ構成では、イベント検証が無効になっています。

...
<system.web>
    ...
    <pages enableEventValidation="false">
    ...
    </pages>
</system.web>

例 2: 次のサーバー ページ ディレクティブは、イベント検証を無効にしています。

<%@ Page ... EnableEventValidation="false" %>

この ASP.NET Core アプリケーションは、安全な接続を介したアクセスのみを許可する、機密性の高いコントローラーまたはコントローラー メソッドを設定しません。