Trust Boundary Violation

同一のデータ構造に信頼できるデータと信頼できないデータを混在させると、プログラマが誤って未検証のデータを信頼する可能性が高くなります。

信頼境界は、プログラム内部に引かれた線と考えることができます。線の片側ではデータは信頼できません。線の反対側では、データは信頼できるものと仮定されます。検証ロジックの目的は、データが信頼境界を安全に越え、信頼できない側から信頼される側に移れるようにすることです。

信頼されているものと信頼されていないものを分ける線がプログラムで不明確な場合に、Trust Boundary Violation が発生します。この誤りを犯す最も多いケースは、信頼できるデータと信頼できないデータを同一のデータ構造に混在させている場合です。
例 1: 次の C# コードは HTTP リクエストを受け付けて、ユーザーが確実に認証されているか確認する前に usrname パラメーターを HTTP セッション オブジェクトに格納しています。

usrname = request.Item("usrname");
if (session.Item(ATTR_USR) == null) {
    session.Add(ATTR_USR, usrname);
}

信頼境界が正しく確立され維持されていないと、どのデータが検証済みで、どれが未検証かをプログラマが追跡できなくなります。その結果、一部のデータが事前検証なしに使用されることになります。

同一のデータ構造に信頼できるデータと信頼できないデータを混在させると、プログラマが誤って未検証のデータを信頼する可能性が高くなります。

信頼境界は、プログラム内部に引かれた線と考えることができます。線の片側ではデータは信頼できません。線の反対側では、データは信頼できるものと仮定されます。検証ロジックの目的は、データが信頼境界を安全に越え、信頼できない側から信頼される側に移れるようにすることです。

信頼されているものと信頼されていないものを分ける線がプログラムで不明確な場合に、Trust Boundary Violation が発生します。この誤りを犯す最も多いケースは、信頼できるデータと信頼できないデータを同一のデータ構造に混在させている場合です。

例 1: 次のコードは、iOS Extension JavaScript スクリプトから iOS Extension コードに信頼できないアイテム (URL) を渡します。

    var GetURL = function() {};
    GetURL.prototype = {
        run: function(arguments) {
            ...
            arguments.completionFunction({ "URL": document.location.href });
        }
        ...
    };
    var ExtensionPreprocessingJS = new GetURL;
    

信頼境界が正しく確立され維持されていないと、どのデータが検証済みで、どれが未検証かをプログラマが追跡できなくなります。その結果、一部のデータが事前検証なしに使用されることになります。

同一のデータ構造に信頼できるデータと信頼できないデータを混在させると、プログラマが誤って未検証のデータを信頼する可能性が高くなります。

信頼境界は、プログラム内部に引かれた線と考えることができます。線の片側ではデータは信頼できません。線の反対側では、データは信頼できるものと仮定されます。検証ロジックの目的は、データが信頼境界を安全に越え、信頼できない側から信頼される側に移れるようにすることです。

信頼されているものと信頼されていないものを分ける線がプログラムで不明確な場合に、Trust Boundary Violation が発生します。この誤りを犯す最も多いケースは、信頼できるデータと信頼できないデータを同一のデータ構造に混在させている場合です。

例 1: 次の Kotlin コードは HTTP リクエストを受け付けて、ユーザーが確実に認証されているか確認する前に usrname パラメーターを HTTP セッション オブジェクトに格納しています。

val usrname: String = request.getParameter("usrname")
if (session.getAttribute(ATTR_USR) != null) {
    session.setAttribute(ATTR_USR, usrname)
}

信頼境界が正しく確立され維持されていないと、どのデータが検証済みで、どれが未検証かをプログラマが追跡できなくなります。その結果、一部のデータが事前検証なしに使用されることになります。

同一のデータ構造に信頼できるデータと信頼できないデータを混在させると、プログラマが誤って未検証のデータを信頼する可能性が高くなります。

信頼境界は、プログラム内部に引かれた線と考えることができます。線の片側ではデータは信頼できません。線の反対側では、データは信頼できるものと仮定されます。検証ロジックの目的は、データが信頼境界を安全に越え、信頼できない側から信頼される側に移れるようにすることです。

信頼されているものと信頼されていないものを分ける線がプログラムで不明確な場合に、Trust Boundary Violation が発生します。この誤りを犯す最も多いケースは、信頼できるデータと信頼できないデータを同一のデータ構造に混在させている場合です。

例 1: 次のコードは、iOS extension からホスト webview に信頼できないアイテムを渡します。

#import <MobileCoreServices/MobileCoreServices.h>

- (IBAction)done {
    ...
    [self.extensionContext completeRequestReturningItems:@[untrustedItem] completionHandler:nil];
}

信頼境界が正しく確立され維持されていないと、どのデータが検証済みで、どれが未検証かをプログラマが追跡できなくなります。その結果、一部のデータが事前検証なしに使用されることになります。

同一のデータ構造に信頼できるデータと信頼できないデータを混在させると、プログラマが誤って未検証のデータを信頼する可能性が高くなります。

信頼境界は、プログラム内部に引かれた線と考えることができます。線の片側ではデータは信頼できません。線の反対側では、データは信頼できるものと仮定されます。検証ロジックの目的は、データが信頼境界を安全に越え、信頼できない側から信頼される側に移れるようにすることです。

信頼されているものと信頼されていないものを分ける線がプログラムで不明確な場合に、Trust Boundary Violation が発生します。この誤りを犯す最も多いケースは、信頼できるデータと信頼できないデータを同一のデータ構造に混在させている場合です。
例 1: 次のコードは usrname cookie を受け取り、そのユーザーが認証済みであることを確認する前に HTTP DB セッションに受け取った値を格納しています。

...
IF (OWA_COOKIE.get('usrname').num_vals != 0) THEN
usrname := OWA_COOKIE.get('usrname').vals(1);
END IF;
IF (v('ATTR_USR') IS null) THEN
HTMLDB_UTIL.set_session_state('ATTR_USR', usrname);
END IF;
...

信頼境界が正しく確立され維持されていないと、どのデータが検証済みで、どれが未検証かをプログラマが追跡できなくなります。その結果、一部のデータが事前検証なしに使用されることになります。

同一のデータ構造に信頼できるデータと信頼できないデータを混在させると、プログラマが誤って未検証のデータを信頼する可能性が高くなります。

信頼境界は、プログラム内部に引かれた線と考えることができます。線の片側ではデータは信頼できません。線の反対側では、データは信頼できるものと仮定されます。検証ロジックの目的は、データが信頼境界を安全に越え、信頼できない側から信頼される側に移れるようにすることです。

信頼されているものと信頼されていないものを分ける線がプログラムで不明確な場合に、Trust Boundary Violation が発生します。この誤りを犯す最も多いケースは、信頼できるデータと信頼できないデータを同一のデータ構造に混在させている場合です。

例 1: 次の Python コードは HTTP リクエストを受け付けて、ユーザーが確実に認証されているか確認する前に username パラメーターを HTTP セッション オブジェクトに格納しています。

uname = request.GET['username']
request.session['username'] = uname

信頼境界が正しく確立され維持されていないと、どのデータが検証済みで、どれが未検証かをプログラマが追跡できなくなります。その結果、一部のデータが事前検証なしに使用されることになります。

同一のデータ構造に信頼できるデータと信頼できないデータを混在させると、プログラマが誤って未検証のデータを信頼する可能性が高くなります。

信頼境界は、プログラム内部に引かれた線と考えることができます。線の片側ではデータは信頼できません。線の反対側では、データは信頼できるものと仮定されます。検証ロジックの目的は、データが信頼境界を安全に越え、信頼できない側から信頼される側に移れるようにすることです。

信頼されているものと信頼されていないものを分ける線がプログラムで不明確な場合に、Trust Boundary Violation が発生します。この誤りを犯す最も多いケースは、信頼できるデータと信頼できないデータを同一のデータ構造に混在させている場合です。

例 1: 次のコードは、iOS extension からホスト webview に信頼できないアイテムを渡します。

import MobileCoreServices

@IBAction func done() {
    ...
    self.extensionContext!.completeRequestReturningItems([unstrustedItem], completionHandler: nil)
}

信頼境界が正しく確立され維持されていないと、どのデータが検証済みで、どれが未検証かをプログラマが追跡できなくなります。その結果、一部のデータが事前検証なしに使用されることになります。

同一のデータ構造に信頼できるデータと信頼できないデータを混在させると、プログラマが誤って未検証のデータを信頼する可能性が高くなります。

信頼境界は、プログラム内部に引かれた線と考えることができます。線の片側ではデータは信頼できません。線の反対側では、データは信頼できるものと仮定されます。検証ロジックの目的は、データが信頼境界を安全に越え、信頼できない側から信頼される側に移れるようにすることです。

信頼されているものと信頼されていないものを分ける線がプログラムで不明確な場合に、Trust Boundary Violation が発生します。この誤りを犯す最も多いケースは、信頼できるデータと信頼できないデータを同一のデータ構造に混在させている場合です。

例 1: 次のコードは HTTP リクエストを受け付けて、ユーザーが確実に認証されているか確認する前に usrname パラメーターを HTTP セッション オブジェクトに格納しています。

...
Dim Response As Response
Dim Request As Request
Dim Session As Session
Dim Application As Application
Dim Server As Server
Dim usrname as Variant
Set Response = objContext("Response")
Set Request = objContext("Request")
Set Session = objContext("Session")
Set Application = objContext("Application")

usrname = Request.Form("usrname")
If IsNull(Session("ATTR_USR")) Then
	Session("ATTR_USR") = usrname
End If
...

信頼境界が正しく確立され維持されていないと、どのデータが検証済みで、どれが未検証かをプログラマが追跡できなくなります。その結果、一部のデータが事前検証なしに使用されることになります。