CSRF攻撃におけるWebアプリの対策 │ ブレーンアシストオンライン

1. はじめに
2. CSRF攻撃とは
3. トークンの発行
4. さいごに
5. 参考文献

はじめに

こんにちは。ブレーン・アシストでWebアプリの開発業務を担当しているものです。
今回はWebアプリケーションに代表的な攻撃として知られているCSRF攻撃についてと、その対策法についてお話していきます。よろしくお願いします。

CSRF攻撃とは

情報処理推進機構では以下のようにご説明しています。

「ログインした利用者からのリクエストについて、その利用者が意図したリクエストであるかどうかを識別する仕組みを持たないウェブサイトは、外部サイトを経由した悪意のあるリクエストを受け入れてしまう場合があります。このようなウェブサイトにログインした利用者は、悪意のある人が用意した罠により、利用者が予期しない処理を実行させられてしまう可能性があります。このような問題を「CSRF（Cross-Site Request Forgeries／クロスサイト・リクエスト・フォージェリ）の脆弱性」と呼び、これを悪用した攻撃を、「CSRF攻撃」と呼びます。」

※1　情報処理推進機構　安全なウェブサイトの作り方 – 1.6 CSRF（クロスサイト・リクエスト・フォージェリ）より

一体どういうことなのか。具体例を示し詳しく説明していきます。
下記のようなパスワード変更画面を想像してください。

ここの入力項目に値をいれて変更ボタンを押すと入力した値にパスワードを変更することができます。
変更後、下記のように完了画面が表示されます。

データベースを確認するとパスワードを確認することができます。

ここでこのウェブサイトを攻撃してみましょう。下記のような悪意あるサイトを用意します。

変更ボタンを押すと攻撃用のパスワードを送信して変更をおこないます。
同じように完了画面が表示されました。

データベースを確認するとパスワードが「hello」に変更されていました。

なぜ変更できてしまったのでしょうか。それはこのWebサイトが「利用者が意図したリクエストであるかどうかを識別する仕組みを持たないウェブサイト」だからです。
今回の場合、悪意あるサイトから正規のリクエストを偽って送信しました。サーバー側ではそのリクエストが正規なものか悪意のものか識別することができず処理してしまったので変更が可能になっていたのです。このような攻撃をCSRF攻撃といいます。(CSRF≒別サイトからのリクエスト攻撃)