「自分宛てのハガキを鏡に映す？」HTTP TRACEメソッドの正体と、その意外な落とし穴
こんにちは！インフラの世界に足を踏み入れたばかりの皆さん、ようこそ。
ネットワークの世界は、目に見えないパケットという小さな手紙が飛び交う、広大な郵便局のようなものです。今日は、そんな通信の世界で「ちょっと変わった役割」を持つ、HTTP TRACEメソッドという機能についてお話しします。
一見すると便利そうなこの機能、実は「鏡」のようでいて、時に牙を剥くことがあるんです。一緒に紐解いていきましょう！
—
1. TRACEメソッドって、そもそも何をしているの？
普段、私たちがWebサイトを見るときの通信（GETメソッド）は、「これを見せて！」という注文に対して、サーバーが「はい、どうぞ」と中身を返してくれますよね。
ところが、TRACEメソッドは違います。イメージとしては、「自分が送った手紙が、郵便局を通った後に、そのままの形で自分に返送されてくる」ような仕組みです。
なぜそんなことをするのか？
答えはズバリ、「通信経路の確認（デバッグ）」です。
あなたが送ったリクエストは、途中のプロキシサーバーやロードバランサーを経由するうちに、ヘッダー（宛先や条件などの付箋）が書き換えられたり、追加されたりすることがあります。
「あれ？なぜか意図通りに表示されないな……」という時、TRACEメソッドを使えば、「最終的にサーバーに届いた時点でのリクエストの内容」が丸ごと返ってくるので、「ああ、途中で誰かが手紙に書き込みをしていたのか！」と、犯人探しができるわけです。
—
2. 実際にリクエストを送ってみよう
試しに、TRACEリクエストがどんなものか見てみましょう。コマンドラインで以下のように送るとします。
TRACE /index.html HTTP/1.1
Host: example.com
このリクエストを送ると、サーバーは受け取った内容をそのままオウム返しします
すると、レスポンスとしてサーバーからはこんな返事が来ます。
HTTP/1.1 200 OK
Content-Type: message/http
TRACE /index.html HTTP/1.1
Host: example.com
User-Agent: curl/7.64.1 # 「お、ブラウザじゃなくてコマンドツールから来たな」と分かります
このように、自分が投げたボールがそのまま帰ってくることで、ネットワーク機器の挙動を詳しく調査できるんです。
—
3. 「鏡」が招く悲劇：クロスサイトトレーシング(XST)の脅威
ここまで聞くと「便利じゃないか！」と思いますよね。しかし、この「オウム返し」には大きなセキュリティリスクが潜んでいます。それがクロスサイトトレーシング(XST)と呼ばれる攻撃です。
どういう仕組み？
もし、悪意のあるサイト（攻撃者の仕掛けた罠）に皆さんがアクセスしてしまったとします。そのサイトがバックグラウンドで勝手に「あなたのブラウザを使って、TRACEリクエストを別のサイトへ送る」という動作をした場合、何が起きるでしょうか？
1. あなたのブラウザが持つ「Cookie（ログイン情報などの鍵）」が、TRACEリクエストに乗っかって送信される。
2. サーバーはご丁寧に、そのリクエストをそのまま返送する。
3. 攻撃者のサイトは、その返送された内容を読み取ることで、あなたのブラウザにしかないはずの「鍵（Cookie）」を盗み取ってしまう。
本来、ブラウザのセキュリティ機能（Same-Origin Policy）は、他のサイトから勝手にデータを盗まれないように守ってくれています。しかし、TRACEメソッドの「届いたものをそのまま返す」という律儀な性格が、その守りをすり抜ける裏口として悪用されてしまうのです。
—
4. 私たちが現場でやるべきこと
「じゃあ、TRACEメソッドなんて使っちゃダメなの？」という疑問が湧きますよね。
結論から言うと、現代のWebサーバー運用において、TRACEメソッドは「無効化」するのが鉄則です。開発時のデバッグは別の方法で行い、本番環境ではこの「鏡」をオフにしておくのがプロのインフラエンジニアの嗜みです。
例えば、ApacheというWebサーバーを使っている場合、設定ファイルに以下の1行を加えるだけで封印できます。
トレースメソッドを無効化する設定
TraceEnable off
—
最後に：一歩ずつ理解を深めよう
「通信の中身を覗き見るための窓」であるTRACEメソッド。便利さと危険性は、常に表裏一体です。
今回は少し難しいセキュリティの話もしましたが、大丈夫です。最初は「TRACEは鏡のようなもの」「鏡は悪用されると危険だから、使わないときは隠しておく」というイメージを持つだけで十分ですよ。
皆さんが管理するインフラという名の郵便局が、今日も安全に、かつ正確にパケットを届けられることを願っています。また次の技術解説でお会いしましょう！
コメント