CSRF

CSRF（Cross-Site Request Forgery、クロスサイトリクエストフォージェリ）は、ログイン済み利用者のブラウザに、本人が意図しない状態変更要求を正規サイトへ送らせる攻撃です。

■ 試験で押さえるポイント

• ブラウザが対象サイトのCookieなどを要求へ自動付加する性質を悪用します。攻撃者は応答を読めなくても、送金、設定変更、投稿等を実行させられます。

• 推測不能でセッションに結び付いたCSRFトークンを検証し、CookieのSameSite属性、Origin・Referer検証、重要操作の再認証を組み合わせます。

• GET要求に状態変更をさせず、副作用のある要求ではHTTPメソッドだけでなくトークンと要求元を確認します。CORS設定だけをCSRF対策と考えません。

• XSSは攻撃コードを正規サイトの文脈で実行でき、CSRF対策を迂回し得ます。CSRFは利用者のブラウザから認証済み要求を送らせる点が中心です。

■ 選択肢での判断ポイント

ログイン済みブラウザが認証情報を自動送信することを利用し、意図しない状態変更を行わせます。攻撃者が応答を読める必要はありません。

例: 攻撃者のページを開いた利用者のブラウザから送金要求が送られても、サーバがセッション固有トークンとOriginを検証すれば拒否できます。