Direct Line 拡張認証

[アーティクル]
03/04/2024

この記事の対象: SDK v4

この記事では、ユーザーがボットに接続するときの潜在的なセキュリティリスクについて説明します (たとえば、Web チャットコントロールを使用)。また、Direct Line の拡張された認証設定とセキュリティで保護されたユーザー ID の処理を使用した軽減ソリューションも示します。

次の 2 つのユーザー ID があります:

チャンネルユーザーの ID。攻撃者はこれを [偽装] に使用できます。
ボットがユーザーの認証に使用する ID プロバイダーからのユーザーの ID。攻撃者は、それを [ID スプーフィング] に使用できます。

偽装

偽装とは、ボットに自分が他のユーザーであると考えさせる攻撃者のアクションを指します。 Web チャットでは、攻撃者が Web チャットインスタンスの [ユーザー ID を変更] して、他の誰かになりすます可能性があります。

偽装の軽減策

ユーザー ID を推測できないものにする。
ボットを Direct Line に接続する。
Direct Line チャンネルで [拡張認証] オプションを有効にすると、Azure AI Bot Service が、あらゆるユーザー ID の変更を検出して拒否できます。この場合、Direct Line からボットへのメッセージのユーザー ID (Activity.From.Id) は、Web チャットコントロ-ルを初期化したときに使用したものと必ず同じになります。

Note

Direct Line は Direct Line シークレットに基づいてトークン を作成し、トークンに User.Id を埋め込みます。ボットに送信されたメッセージがアクティビティ From.Id としてその User.Id を持っていることを保証します。クライアントが、別の From.Id を持つメッセージを Direct Line に送信すると、そのメッセージがボットに転送される前に、トークンに埋め込まれた ID に変更されます。このため、チャンネルシークレットがそのユーザー ID で初期化された後に、別のユーザー ID を使用することはできません。

この機能では、ユーザー ID が必ず以下で示すような dl_ で始まる必要があります。

ヒント

リージョンボットの場合は、選択したリージョンに従って、dlUrl を設定します。
ヨーロッパを選択した場合は、https://europe.directline.botframework.com/v3/directline/tokens/generate" を設定します。
インドを選択した場合は、https://india.directline.botframework.com/v3/directline/tokens/generate" を設定します。
リージョンボットの詳細については、「Azure AI Bot Service のリージョン化」を参照してください。
```
public class HomeController : Controller
{
    private const string secret = "<TODO: DirectLine secret>";
    private const string dlUrl = "https://directline.botframework.com/v3/directline/tokens/generate";

    public async Task<ActionResult> Index()
    {
        HttpClient client = new HttpClient();
        var userId = $"dl_{Guid.NewGuid()}";

        HttpRequestMessage request = new HttpRequestMessage(HttpMethod.Post, dlUrl);
        request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", secret);
        request.Content = new StringContent(
            JsonConvert.SerializeObject(
                new { User = new { Id = userId } }),
                Encoding.UTF8,
                "application/json");

        var response = await client.SendAsync(request);

        string token = String.Empty;
        if (response.IsSuccessStatusCode)
        {
            var body = await response.Content.ReadAsStringAsync();
            token = JsonConvert.DeserializeObject<DirectLineToken>(body).token;
        }

        var config = new ChatConfig()
        {
            Token = token,
            UserId = userId
        };

        return View(config);
    }
}    
```
次に示すように、Direct Line シークレットに基づいて生成されたトークンが、Web チャットコントロールで使用されます:
```
@model Bot_Auth_DL_Secure_Site_MVC.Models.ChatConfig
@{
    ViewData["Title"] = "Home Page";
}
<div id="webchat" role="main" />
<head>
    <script src="https://cdn.botframework.com/botframework-webchat/latest/webchat.js"></script>
</head>
<body>
    <script>
      window.WebChat.renderWebChat({
          directLine: window.WebChat.createDirectLine({ token: '@Model.Token' }),
            userID: '@Model.UserId'
      }, document.getElementById('webchat'));
    </script>
</body>
```

ID スプーフィング

ID スプーフィングとは、正当なユーザーの ID を推測し、その ID を使用して悪意のある目標を達成する攻撃者のアクションを指します。

ボットがチャンネルユーザー A に ID プロバイダーへのサインインを求める場合、サインインプロセスでは、ユーザー A がプロバイダーにサインインする唯一のユーザーであることを保証する必要があります。別のユーザーがプロバイダーのサインインも許可されている場合は、ボットを介してユーザー A のリソースにアクセスできます。

ユーザー ID スプーフィングの軽減策

Web チャットコントロールには、適切なユーザーがサインインしていることを保証する 2 つのメカニズムがあります。

マジックコード。サインインの最後に、ランダムに生成された 6 桁のコード (マジックコード) がユーザーに表示されます。ユーザーは、サインインプロセスを完了するために、やり取りの際にこのコードを入力する必要があります。これを行うと、ユーザーエクスペリエンスが悪化する傾向があります。さらに、フィッシング攻撃の影響を受けやすくなります。悪意のあるユーザーが別のユーザーをだましてサインインし、マジックコードを取得する可能性があります。
Direct Line 拡張認証 Direct Line 拡張認証を使用して、Web チャットクライアントと同じブラウザーセッションでのみサインインプロセスを完了できることを保証します。

この保護を有効にするには、[ボットの Web チャットクライアントをホストできる信頼されたドメイン] の一覧を含む Direct Line トークンを使用して、Web チャットを開始します。拡張認証オプションを使用して、Direct Line 構成ページで信頼されたドメイン (信頼された origin) の一覧を静的に指定できます。「拡張認証の構成」セクションを参照してください。

Direct Line 拡張認証

偽装

偽装の軽減策

ID スプーフィング

ユーザー ID スプーフィングの軽減策

その他のリソース