エラーメッセージの表示内容に注意する

公開日：2013年3月20日

例えば、ログインエラーが起きた場合、以下のようなエラーメッセージを表示することはないでしょうか？

パスワードが異なります。

これは、見方を変えれば、ユーザー ID は正しいことを攻撃者に伝えていることになります。攻撃者は、ユーザーID を固定して、パスワードの解析を始めるでしょう。

ログインエラーの場合の正しいエラーメッセージの例は以下のようになります。

ユーザー ID またはパスワードが異なります。

こうすることで、攻撃者に手がかりを与えないことができます。

また、環境によりシステムエラーの内容がそのまま利用者に表示されてしまうことがあります。そうした環境では、システムエラーの内容が利用者に表示されないよう設定を行うようにしてください。

Twitter でも、いろんな情報を発信しています。
@fnyaさんをフォロー