CSRFとは何か、またどのように防止しますか？

Question

Accepted Answer

**CSRF (クロスサイトリクエストフォージェリ)**は、ログイン済みのユーザーのブラウザを騙して、認証されているサイトへの**意図しないリクエスト**を作成させ、ブラウザが自動的に認証情報/クッキーを送信する特性を悪用して、ユーザーの同意なしに操作(送金、変更など)を実行させる攻撃です。 ## CSRFのしくみ ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## 防止方法 ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## なぜ重要なのか CSRFとその防止方法を理解することが重要なのは、これが**一般的なWeb脆弱性**であり、ブラウザの動作を悪用して認証済みユーザーとしてアクションを実行可能にするため、Webデベロッパーにとって重要なセキュリティ知識だからです。 **CSRFがどのように機能するか**を理解すること — ブラウザが**自動的にクッキーを送信する**(セッションクッキーを含む)という特性を悪用して、悪意のあるページがユーザーがログインしているサイトへのリクエストをトリガーでき、ブラウザがセッションクッキーを含めるため、そのサイトが偽造されたリクエストを正当なものとして扱い、ユーザーの同意なしにアクションを実行する — ことは、この微妙だが危険な攻撃を理解するために必要です。 CSRFが危険なのは、被害者の知らないうちに機密操作を実行でき、一般的なWeb脆弱性だからです。 **防止方法**の理解が重要です: **CSRFトークン**(セッション/フォームごとのユニークで予測不可能なトークンをサーバーが検証 — 攻撃者のサイトはこれを知ることができないため、偽造されたリクエストは失敗します。従来の主要な防御)、**SameSiteクッキー**(SameSite=Lax/Strictを設定してクロスサイトリクエストでクッキーが送信されないようにする。現在ではブラウザレベルの強力な防御で、ますますデフォルト化されている)、Origin/Refererヘッダーの確認、機密アクション用の再認証要求、ステート変更操作にGETを使用しないこと。 **フレームワークはしばしばCSRF保護を組み込みで提供している**(これは有効にして使用すべき)ことを理解することは、実用的に重要です。 CSRFトークンとSameSiteクッキーの組み合わせは、堅牢な保護を提供します。 CSRFはブラウザの動作を悪用して認証済みユーザーとして意図しないアクションを実行する一般的なWeb脆弱性であり、そのしくみと防止方法(CSRFトークン、SameSiteクッキー、フレームワーク保護)を理解することがWebデベロッパーにとって重要であるため、CSRFとその防止を理解することは実用的で関連性の高いセキュリティ知識です — ユーザーを騙されたアクションから保護するためにWebアプリケーション開発者が理解して防御すべき重要な攻撃クラスであり、その防御(CSRFトークンとSameSiteクッキー)はユーザーを保護するための重要な知識です。認証されたステート変更操作を行うあらゆるWebアプリケーションにおいて、注目すべき攻撃クラスです。