【Ruby】Webシステムを安全に保護する！Rackによるアクセス制限の基礎知識

Webアプリケーションを運用する際、管理者専用ページや社内向けツールなど、誰にでも閲覧可能であってはならない領域が必ず存在します。

このような領域に対するアクセス制限を実現する最も基礎的な手法が、HTTPプロトコル標準の「Basic認証」です。RubyのWeb基盤であるRack環境において、この認証システムをどのように安全に実装するのか、その仕組みについて解説します。

具体的な実装コードや、動作確認のためのコマンドにつきましては、こちらのブログ記事にて詳しく公開しております。開発環境で実際にコードを動かしてみたい方は、まず以下のリンクをご覧ください。

ミドルウェアによる効率的なアクセス制限

Rackを利用したシステムでは、複雑な認証機能を自作しなくても、「ミドルウェア」と呼ばれる部品を追加するだけで容易にBasic認証を導入できます。

Rackの設計では、クライアントからのリクエストは一番外側のミドルウェアから順に処理されます。認証のミドルウェアを設定すると、正しいユーザー名とパスワードを入力して認証を通過したリクエストだけが、背後にあるアプリケーション本体に到達できるようになります。

認証に失敗した場合は、ミドルウェアが即座にエラー（401 Unauthorized）を返すため、アプリケーションのコアとなるコードを書き換えることなく、システム全体のセキュリティを強化することが可能です。

単純な文字列比較に潜むリスク

パスワードの認証ロジックを構築する際、入力された文字列と正解の文字列を単純な比較演算子で判定してしまうと、重大な脆弱性を生む可能性があります。

Rubyの内部処理において、単純な文字列比較を行うと「文字列がどの文字まで一致したか」によって、処理の完了時間がほんのわずかに変動します。悪意のある攻撃者は、このミリ秒単位の処理時間のブレを大量のリクエストを通じて計測し、パスワードの文字を1文字ずつ推測していく「タイミング攻撃」という手法を実行する危険性があります。

強固なシステムを構築するための防御策

この脆弱性を排除し、システムを安全に保つためには2段階の防御策が必要です。

第一に、入力された文字列と正解の文字列をそれぞれ固定長のハッシュ値（一方向の暗号化された文字列）に変換します。第二に、Rackに用意されている専用の比較メソッドを用いてハッシュ値同士を検証します。この専用メソッドは、文字が一致していてもいなくても、必ず文字列の最後まで同じ処理時間をかけて比較するように設計されています。これにより、処理時間の差からパスワードを推測される危険性を完全に防ぐことができます。

詳細な実装手法はブログにて公開中

ハッシュ化と固定時間での文字列比較というセキュアな設計原則は、Basic認証に限らず、将来的に独自のログイン機能を構築する際にも必須となるWebセキュリティの基礎知識です。

「認証を適用するための具体的な設定記述」や、「タイミング攻撃を防ぐためのメソッド名とRubyコード」については、本記事では割愛しております。

実際のコードを確認しながら、強固なアクセス制御の仕組みへの理解を深めたい方は、ぜひ下記のブログ記事へアクセスして詳細をご確認ください。