レイテンシ注入（れいてんしちゅうにゅう）

レイテンシ注入とは

レイテンシ注入は、Webアプリケーションなどのセキュリティにおける攻撃手法の一つです。攻撃者は、ネットワークやシステムに意図的に遅延（レイテンシ）を発生させ、その時間差を利用して認証や認可のチェックを回避しようとします。この手法は、特に時間依存のセキュリティメカニズムに脆弱性がある場合に有効です。

レイテンシ注入の仕組み

レイテンシ注入攻撃は、通常、以下の手順で実行されます。

1. リクエストの送信: 攻撃者は、ターゲットシステムに対して複数のリクエストを送信します。
2. 遅延の挿入: 一部のリクエストに意図的に遅延を挿入します。これは、ネットワークの混雑をシミュレートしたり、特定の処理を遅らせることで実現できます。
3. 認証・認可の回避: 遅延によって、システムが複数のリクエストを別々のセッションとして処理し、認証や認可のチェックを誤って行う可能性があります。これにより、攻撃者は本来アクセスできないリソースにアクセスしたり、不正な操作を実行したりすることが可能になります。

レイテンシ注入の対策

レイテンシ注入攻撃を防ぐためには、以下の対策が有効です。

• セッション管理の強化: セッションIDの生成と管理を厳格に行い、セッション固定攻撃などの対策を講じます。
• タイムスタンプの検証: リクエストのタイムスタンプを検証し、異常な遅延や時間差を検出します。
• リクエストの相関付け: 複数のリクエストを相関付けて処理し、同一セッションからのリクエストであることを確認します。
• レート制限: 短時間内のリクエスト数を制限し、大量のリクエストによる攻撃を防ぎます。
• WAFの導入: Webアプリケーションファイアウォール（WAF）を導入し、レイテンシ注入攻撃を検知・防御します。