オープンリダイレクトとは？

オープンリダイレクトの意味

転送先URLを外部から自由に指定できてしまう実装上の欠陥。正規サイトのURLを装って利用者を偽サイトへ誘導するフィッシングに悪用される。

オープンリダイレクトの具体例

正規ドメインのURLにパラメータで外部サイトを指定したリンクをメールで送り、利用者を偽ログイン画面へ誘導する。

オープンリダイレクトは試験でどう引っ掛けられる？

スクリプトを埋め込むXSS、意図しない操作をさせるCSRFと混同しない。悪用されても被害はリンクを踏んだ利用者が偽サイトへ導かれることで、自サイトのデータ自体は改ざんされない。転送先を許可リストで限定するのが対策。

オープンリダイレクトと関連する用語

• フィッシング

オープンリダイレクトが出た過去問

• オープンリダイレクトを悪用した攻撃に該当するものはどれか。

  正解：Webサイトにアクセスすると自動的に他のWebサイトに遷移する機能を悪用し、攻撃者が指定した偽のWebサイトに誘導する。

  要点：オープンリダイレクトは正規サイトの転送機能で偽サイトへ誘導する

  オープンリダイレクトとは、外部から与えられたURLへ検証せずに転送してしまうWebサイトの脆弱性である。攻撃者はこの正規サイトのURLを入口に使い、利用者を気づかせないまま偽サイトへ誘導する。正規ドメインのリンクに見えるため利用者が信用しやすく、フィッシングの踏み台にされる。

  出典：令和3年度 秋期 応用情報技術者試験 午前 問44（IPA）