サーバーの信頼認証情報を作成する前に信頼チェーンを評価するのは、NSURLConnection オブジェクト、NSURLSession オブジェクト、または NSURLDownload オブジェクトのデリゲートの役割です。

例 1: 次のコードは、評価されていないサーバー信頼を使用して NSURLCredential を初期化します。

-(void)URLSession:(NSURLSession *)session didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition disposition, NSURLCredential * credential)) completionHandler {
        ...
        [challenge.sender useCredential:[NSURLCredential credentialForTrust: challenge.protectionSpace.serverTrust] forAuthenticationChallenge:challenge];
        ...
}

サーバーの信頼認証情報を作成する前にサーバー信頼を評価するのは、NSURLConnection オブジェクト、NSURLSession オブジェクト、または NSURLDownload オブジェクトのデリゲートの役割です。サーバー信頼を評価するには、SecTrustEvaluate(_:_:) メソッドを呼び出す際に、サーバーの NSURLProtectionSpace オブジェクトの serverTrust メソッドから取得した信頼を使用します。

SecTrustEvaluate(_:_:) メソッドは、次の 2 つの異なる値を返します。

- 返された OSStatus 値は、結果コードを表します。
- 2 番目の引数が示すオブジェクトは、評価の結果タイプを表します。

信頼が無効な場合は、cancel(_:) を使用して認証チャレンジをキャンセルする必要があります。

例 1: 次の例では、サーバー信頼は評価されますが、受信した認証情報はこの評価結果をチェックすることなく使用されます。

SecTrustRef trust = [[challenge protectionSpace] serverTrust];
SecTrustResultType result = kSecTrustResultInvalid;
OSStatus status = SecTrustEvaluate(trust, &result);
completionHandler(NSURLSessionAuthChallengeUseCredential, [challenge proposedCredential]);

NSURLProtectionSpace オブジェクトはサーバーや、一般にレルムと呼ばれる、認証を必要とするサーバー上の領域を表します。
保護領域に対して認証が必要となる URL 接続を確立する場合は、認証を実行する必要がある NSURLConnectionDelegate.connection(_:didReceive:) メソッドをコールする直前に、NSURLConnectionDelegate.connection(_:canAuthenticateAgainstProtectionSpace:) メソッドが呼び出されます。こうすることにより、NSURLConnectionDelegate は保護領域に対して認証を行う前に、この領域を調べることができます。デリゲートは true を返すことにより、connection(_:didReceive:) に対する以降のコール内で行われる認証形式が処理可能なことを示します。デリゲートがこのメソッドを実装せず、保護領域でクライアント証明書認証またはサーバー信頼認証が使用される場合は、ユーザーのキーチェーンを使用して認証されますが、これが目的の動作ではない可能性があります。

アプリケーションは NSURLConnection または NSURLSession コールバックを実装して、認証リクエストを処理します。予測されるホストから認証リクエストが届くように設定しなかった場合は、アプリケーションによってロードされたすべての URL に認証情報が送信されます。また、この認証情報を安全に送信できることをチェックしなかった場合は、認証情報が盗まれてしまいます。

例 1: 次のアプリケーションは、認証を要求しているすべてのホストにユーザー認証情報を送信します。

- (void)URLSession:(NSURLSession *)session didReceiveChallenge:(NS URLAuthenticationChallenge *)challenge completionHandler:(void (^)(NS URLSessionAuthChallengeDisposition, NSURLCredential *))completionHandler { 
    NSString *user = [self getUser]; 
    NSString *pass = [self getPassword]; 

    NSURLCredential *cred = [NSURLCredential credentialWithUser:user 
    password:pass persistence:NSURLCredentialPersistenceForSession]; 
    completionHandler(NSURLSessionAuthChallengeUseCredential, credential);
} 

tx.origin グローバル変数は、トランザクションを開始したアカウントのアドレスが保持されています。

スマート コントラクト S1 がアカウント A1 からトランザクションを受信すると、S1 は別のスマート コントラクト S2 を呼び出します。次に、S2 内の tx.origin には、S1 を呼び出すために使用されるアカウント A1 のアドレスが含まれています。tx.origin の目的が A1 の認可を確認することである場合、この認可はバイパスされます。

攻撃者がユーザーを騙して悪意のあるコントラクトにトランザクションを送信させ、そのユーザーが tx.origin を介して認可されている脆弱なコントラクトを呼び出すことができる場合、tx.origin はトランザクションを開始したユーザー アカウントのアドレスを保持するため、認可はバイパスされます。

例 1: 次のコードは、指定されたアドレスに資金を送金する前に、コントラクトの所有者 (コンストラクターで事前に設定) が tx.origin と同じであることを求めます。

攻撃者がコントラクトの所有者を騙して、脆弱な環境で sendTo 関数を即座に呼び出す悪意のあるコントラクトにトランザクションを送信させることができる場合、require ステートメント内の条件は true になり、sendTo を呼び出すと、攻撃者のコントラクトが指定したアドレスに資金が転送されます。

function sendTo(address receiver, uint amount) public {
    require(tx.origin == owner);
    receiver.transfer(amount);
}

アクセス設定が緩いと、システムが不必要に公開され、組織の攻撃対象領域が広がります。一般に公開されているサービスは、通常、悪意のあるエンティティによるほぼ継続的なスキャンとプロービングの対象になります。

これは、公開されたサービスのゼロデイ エクスプロイトが発見され、公表された場合 (Heartbleed など) に、特に問題になります。攻撃者は、パッチが適用されていない、公開されたシステムを積極的に追跡、検索して、それを悪用できます。

例 1: 次の Ansible タスクは、世界 (0.0.0.0/0) に対して TCP ポート 22 を開く AWS セキュリティ グループを定義します。SSH サーバーは通常、受信接続リクエストに応答します。

- name: Task to open SSH port
  amazon.aws.ec2_group:
    name: demo_security_group
    description: Open the ssh port to the world
    state: present
    vpc_id: 123456
    region: us-west-1
    rules:
    - proto: tcp
        ports: 22
        cidr_ip: 0.0.0.0/0

Lambda プリンシパルのワイルドカード設定は、最小特権の原則に違反し、攻撃者が任意のアカウントから Lambda を呼び出すことを可能にします。

例 1: 次の Ansible タスクの例では、ワイルドカード Lambda プリンシパルを定義します。

- name: Create Lambda policy statement for S3 event notification
  community.aws.lambda_policy:
    action: lambda:InvokeFunction
    function_name: functionName
    principal: *
    statement_id: lambda-s3-demobucket-access-log
    source_arn: arn:aws:s3:us-west-2:123456789012:demobucket
    source_account: 123456789012
    state: present