テストユーザーの設定

IDOR、権限昇格、ロジックバグを含む、最も重大な脆弱性の多くは、ログイン画面の向こう側にあります。それらを見つけるには、AikidoのPentestエージェントにアクセス権が必要です。

複雑なSeleniumスクリプトやプロキシ記録を必要とする従来のツールとは異なり、AikidoはLLM駆動のアプローチを使います。人間のQAテスターに説明するのと同じように、自然言語でエージェントにログイン方法を伝えるだけです。

認証セットの設定方法は次のとおりです。

1

テストユーザーを作成

1. クリック テストユーザーを追加.
2. 名前: このセットには説明的な名前を付けてください（例: 管理者ユーザー, 読み取り専用ユーザー, テナントA - マネージャー).

異なる権限レベル間でのBroken Access Control（BAC）をテストするために、複数のペルソナを設定することを推奨します。

2

ログイン手順を提供

これは最も重要なステップです。 認証手順 フィールドに、ログインフローの手順を段階的なテキストで記述してください。

AIエージェントはこれを解析して、特有のUIの癖を回避します。具体的に書いてください。

記入例:

移動先: staging.app.com/login

"Log in with Username" をクリック

ユーザー名を入力: pentest_admin

パスワードを入力: super_secure_password_123

"Sign In" ボタンをクリック

AIエージェントは標準的なCaptchaを自動で解決できるようになっています。スキャンのためにこれらを無効化したり、個別の手順を与えたりする必要はありません。

3

設定をテスト

最後に、エージェントがあなたの指示を正しく解釈できるか確認してください:

1. クリック 保存してテスト.
2. エージェントはブラウザーセッションを起動し、認証情報と受信トレイの指示を使ってログインを試みます。
3. 成功すると、エージェントが認証され、ログイン後の状態に到達したことを示す確認が表示されます。

高度なログインフロー

アプリケーションが単純なユーザー名とパスワード以上を必要とする場合は、専用ツールを使用してください:

• メール認証 & マジックリンク: メール内のリンクをクリックしたり、コードを受け取る必要がある場合。
• 二要素認証（TOTP）: 認証アプリから6桁のコードを生成する必要がある場合。
• SMS認証: SMSベースの確認コードを扱う必要がある場合。
• エージェントが新規アカウントを作成: 自然言語の指示から使い捨てのテストユーザーを生成させます。これは複数ロールの網羅に役立ちます。

ベンダー固有の認証フロー:

• Google Auth: Google Workspaceのログインフローをネイティブにサポートする機能がベータ版で利用可能です。
• Microsoft Auth: 二段階認証付きのMicrosoftアカウントのサポート。
• Auth0設定: 複数エージェント間でのセッション共有をサポートするために必要なOAuthプロバイダー設定。

OAuthおよびJWTアプリ

Aikido Pentestは、多数のエージェントを並列で実行し、テストユーザーごとに1つの認証済みセッションを共有します。同じリフレッシュトークンがエージェント間で再利用され、評価期間中そのセッションが維持されます。

これを確実に動作させるには、IDプロバイダー（Auth0、Cognito、Azure AD / Entra ID、Keycloak、カスタムOIDCなど）を次のように設定する必要があります:

• リフレッシュトークンは再利用可能であること。 一度しか使えないリフレッシュトークンと、交換時に前回のトークンを無効化するリフレッシュトークンローテーションを無効にしてください。
• リフレッシュトークンの有効期限が評価期間を超えていること。 一般的なペンテストは数時間実行されることがあるため、有効期限をそれに応じて設定してください（例: 7200秒より長く）。
• 短命のアクセストークン（JWT）は問題ありません 上記のルールに従ってリフレッシュが機能する限り。

よくある失敗例: 単回使用またはローテーション型のリフレッシュトークンでは、最初のエージェントのリフレッシュでトークンが消費されます。他のエージェントは、保存されたセッションをすでに無効なトークンで再読み込みし、で失敗します。 403 更新時に、アクセストークンの期限切れ後に動けなくなります。

症状としては、事前チェックは成功するものの、評価の途中でエージェント全体に認証失敗が大量発生します。

Auth0については、 Auth0設定にある手順ごとの設定に従ってください。同じチェックリストは他のOIDCプロバイダーにも適用できます。

ベストプラクティス

• 本番環境の認証情報を使わない: ペンテストは必ずステージングまたはQA環境で実行してください。スキャナーはデータを破損させる可能性のある侵入的なテストを行います。
• 専用のテストアカウントを作成: 個人の開発者アカウントは使用しないでください。スキャナー用の専用アカウントを作成してください（例: [email protected]).
• すべてのテナントを網羅: アプリがマルチテナントの場合は、異なるテナントのユーザーの認証情報を追加してください（例: ユーザー - テナントA, ユーザー - テナントB）。これにより、AIはテナント間のデータ漏えいをテストできます。

トラブルシューティング

認証は起動直後の 事前チェック で検証されます。エージェントの画面をリアルタイムで確認して、成功したかどうかを見られます。

エージェントがログインに失敗した場合:

• 失敗を確認: エラーログ内のエージェントのスクリーンショットを確認し、どこで止まったのかを正確に把握してください。
• サニティチェックの手順: 提供した手順をシークレットウィンドウで手動でたどってください。手順を飛ばしたり、ボタンの表示が不明瞭だったりすると、エージェントは苦戦する可能性があります。
• アクセシビリティを確認: URLは公開インターネットから到達可能ですか？（IPホワイトリストを確認してください）。
• アカウントの状態: テストユーザーがロックアウトされていないことを確認してください。