Webサービス／XMLセキュリティの団体，Webサービスぜい弱性の研究成果を公開

高橋信頼

2005.02.21

　Webサービス／XMLセキュリティの団体Advanced XML Security Laboratories（AXSL）は，XML Webサービスのぜい弱性に関する研究成果をまとめたモデル「XML Web Services Vulnerability Model」を公開した。AXSLが米国時間2月18日に明らかにしたもの。同モデルを参考にすると，Webサービスにかかわる危険を低減するソリューション導入が容易になるという。

　AXSLは，情報セキュリティや防衛問題を研究する米国の非営利／非政府系シンク・タンクCenter for Advanced Defense Studies（CADS）と，XMLネットワーキング製品を手がける米Sarvegaが設立した組織。WebサービスのセキュリティやXMLのぜい弱性，安全な情報交換といった分野について，研究を行っている。

　Webサービスの脅威について，AXSLは「通常のネットワークによる脅威と根本的に異なる」と説明する。ネットワーク・プロトコルのアプリケーション層とアプリケーション・スタックを狙う新しいタイプの脅威であり，アプリケーションごとに千差万別という。「こうした相違を明確に理解せず，一般的な脅威モデルや対応戦略を適用すると，思いもよらないぜい弱性が生じたり，“Webサービス・アプリケーションは安全”と誤解したりする」（AXSL）

　CADS設立者兼会長のNewton Howard氏は，「我々の調査によると，ネットワーク・セキュリティ管理者とWebサービス・アーキテクトのほとんどが，Webサービスを悪用した侵入阻止を，優先度の高いアプリケーション・セキュリティ検討事項としている」と述べる。「ところが，“XMLの脅威やWebサービス・アプリケーションに対する影響について限られた情報しか得られない”と答えるセキュリティ管理者が多かった」（同氏）

　AXSLは，XMLにかかわる脅威を“Vertical Threat（垂直脅威）”と“Horizontal Threat（水平脅威）”に分類してモデル化した。Webサービスのトラフィックは階層化した状態で変更／処理／保護するので，垂直脅威で扱う。水平脅威は，XMLのエンコーディング，構造，文法検証などの処理にかかわる。

　これらのセキュリティ・モデルは，Webサイトでダウンロードできる。