CSRF攻撃とは何ですか？どのようにそれらを防ぐことができますか？

クロスサイトリクエストフォージェリ（CSRF）は、Webサイトの脆弱性を悪用する最も古い方法の1つです。これは、通常、ログインなどの認証を必要とするサーバー側のWebスイッチを標的とします。CSRF攻撃中に、攻撃者は被害者に代わりに不正な悪意のあるWeb要求を行わせることを目的としています。

CSRF攻撃が成功する一般的な原因には、Webサイトのセキュリティ慣行が弱い、または不十分である、ユーザーの経路が不注意であるなどがあります。

CSRF攻撃とは何か、そして開発者またはユーザーとしての攻撃を防ぐための可能な方法を見てみましょう。

CSRF攻撃はあなたにどのような影響を与えますか？

CSRFは、ユーザーのログインまたは認証を必要とするWebアクション中に不正な要求を実装するために使用される攻撃です。CSRF攻撃は、セッションID、Cookie、およびその他のサーバーベースの脆弱性を利用して、ユーザーの資格情報を盗む可能性があります。

たとえば、アンチCSRFプロシージャを有効にすると、クロスドメインの悪意のある相互作用が防止されます。

その障壁が破られると、攻撃者はユーザーのブラウザによって作成されたCookieを介してユーザーのセッションIDをすばやく利用し、脆弱なWebサイトにスクリプトタグを埋め込むことができます。

攻撃者はIDを操作することで、訪問者を別のWebページにリダイレクトしたり、電子メールなどのソーシャルエンジニアリング手法を悪用してリンクを送信したりして、被害者に悪意のあるソフトウェアのダウンロードを促すこともできます。

被害者がそのようなアクションを実行すると、HTTPリクエストをユーザーのサービスページに送信し、攻撃者に有利なリクエストアクションを承認します。これは、疑いを持たないユーザーにとっては壊滅的なものになる可能性があります。

CSRF攻撃が成功すると、特にパスワードやユーザー名の変更要求などのサーバーベースのアクション中に、許可されたユーザーが攻撃者へのアクセスクレデンシャルを失う可能性があります。最悪のシナリオでは、攻撃者はセッション全体を乗っ取り、ユーザーに代わって行動します。

CSRFは、Web上の資金取引を乗っ取ったり、ユーザー名とパスワードを変更したりするために使用されてきました。これにより、ユーザーは影響を受けるサービスにアクセスできなくなります。

攻撃者がCSRFを使用してセッションをハイジャックする方法：例

CSRF攻撃の主なターゲットは、ユーザーの認証を含むWebアクションです。成功するためには、犠牲者からの意図しない行動が必要です。

CSRF攻撃中は、GET、DELETE、PUTアクション、および脆弱なPOSTリクエストが攻撃者の主な標的になります。

これらの用語の意味を見てみましょう。

• GET：データベースから結果を収集するリクエスト。たとえば、Google検索。
• POST：通常、Webフォームを介してリクエストを送信します。POSTリクエストは、ユーザーの登録またはログイン時に一般的であり、認証とも呼ばれます。
• DELETE：データベースからリソースを削除します。特定のWebサービスからアカウントを削除するたびにこれを行います。
• PUT： PUTリクエストは、既存のリソースを変更または更新します。例として、Facebookの名前を変更します。

実際には、攻撃者はセッションハイジャックを使用してCSRF攻撃をバックアップします。この組み合わせを使用すると、攻撃者はハイジャックを使用して被害者のIPアドレスを変更できます。

次に、IPアドレスの変更により、被害者は新しいWebサイトにログインし、攻撃者は、CSRFを介して作成した複製フォームまたは変更されたサーバー要求を送信する不正なリンクを挿入します。

疑いを持たないユーザーは、リダイレクトがサービスプロバイダーからのものであると考え、攻撃者のWebページ上のリンクをクリックします。これを行うと、ハッカーは知らないうちにページの読み込み時にフォームを送信します。

GETリクエストのCSRF攻撃の例

安全でないeコマースプラットフォームを介してオンライン支払いを行おうとしていると想像してみてください。プラットフォームの所有者は、GETリクエストを使用してトランザクションを処理します。そのGETクエリは次のようになります。

https://websiteurl/pay?amount=$10&company=[company ABC's account]

ハイジャック犯は、GETリクエストのパラメータを変更することで、トランザクションを簡単に盗むことができます。これを行うには、彼らがする必要があるのはあなたの名前を彼らの名前と交換することだけであり、さらに悪いことに、あなたが支払うつもりの金額を変更することです。次に、元のクエリを次のように微調整します。

https://websiteurl/pay?amount=$20000&company=[attacker's account]

その変更されたGETリクエストへのリンクをクリックすると、攻撃者のアカウントに意図せずに転送することになります。

GETリクエストを介したトランザクションは悪い習慣であり、アクティビティを攻撃に対して脆弱にします。

POSTリクエストのCSRF攻撃の例

ただし、多くの開発者は、POSTリクエストを使用する方がWebトランザクションを行うのにより安全であると考えています。それは事実ですが、残念ながら、POSTリクエストはCSRF攻撃の影響も受けやすくなっています。

POSTリクエストを正常にハイジャックするために必要なのは、現在のセッションID、複製された非表示のフォーム、場合によっては小さなソーシャルエンジニアリングだけです。

たとえば、POSTリクエストフォームは次のようになります。

ただし、攻撃者は新しいページを作成し、上記のフォームを次のように変更することで、クレデンシャルを交換できます。

操作されたフォームでは、攻撃者は金額フィールドの値を「30000」に設定し、受信者のアカウント番号を自分のアカウント番号に交換し、ページの読み込み時にフォームを送信し、ユーザーからフォームフィールドを非表示にします。

彼らがその現在のセッションを乗っ取ると、あなたのトランザクションページは攻撃者のページへのリダイレクトを開始し、あなたがアクセスする可能性が最も高いと彼らが知っているリンクをクリックするように促します。

これをクリックすると、複製されたフォームの送信が読み込まれ、攻撃者のアカウントに資金が送金されます。つまり、JavaScriptは次のウェブページの読み込み時に自動的にこれを行うため、トランザクションを実行するために「送信」などのボタンをクリックする必要はありません。

または、攻撃者は、同じページ読み込みフォームの送信を実行するためにリンクをクリックするように求めるHTML埋め込み電子メールを作成することもできます。

CSRF攻撃に対して脆弱な別のアクションは、PUTリクエストの例であるユーザー名またはパスワードの変更です。攻撃者はリクエストフォームを複製し、メールアドレスを自分のメールアドレスに置き換えます。

次に、セッションを盗み、ページにリダイレクトするか、魅力的なリンクをクリックするように求めるメールを送信します。

次に、パスワードリセットリンクをあなたのメールアドレスではなくハッカーのメールアドレスに送信する操作フォームを送信します。このようにして、ハッカーはパスワードを変更し、アカウントからログアウトします。

開発者としてCSRF攻撃を防ぐ方法

CSRFを防ぐための最良の方法の1つは、サーバーで状態変更を実行するためにセッションCookieに依存するのではなく、頻繁に変更されるトークンを使用することです。

関連：デジタルセキュリティを理解し、プライバシーを保護するための無料ガイド

最新のバックエンドフレームワークの多くは、CSRFに対するセキュリティを提供します。したがって、CSRFに対する強化の技術を自分で避けたい場合は、組み込みのアンチCSRFトークンが付属するサーバー側フレームワークを使用して簡単に取り組むことができます。

アンチCSRFトークンを使用すると、サーバーベースのリクエストは、より静的で脆弱なセッションCookieの代わりにランダムな文字列を生成します。そうすることで、ハイジャック犯による推測からセッションを保護することができます。

Webアプリでトランザクションを実行するための2要素認証（2FA）システムを実装すると、CSRFの可能性も低くなります。

コメントフォームなどのユーザーフィールドへのスクリプトインジェクションを含むクロスサイトスクリプティング（XSS）を介してCSRFを開始することができます。これを防ぐには、Webサイト全体のすべてのユーザーフォームフィールドでHTML自動エスケープを有効にすることをお勧めします。このアクションにより、フォームフィールドがHTML要素を解釈できなくなります。

ユーザーとしてのCSRF攻撃を防ぐ方法

認証を伴うWebサービスのユーザーとして、攻撃者がCSRFを介して資格情報やセッションを盗むのを防ぐ役割があります。

送金を伴う活動中は、信頼できるWebサービスを使用していることを確認してください。

これに加えて、セッションの露出からユーザーを保護する 安全なWebブラウザー、および検索データの漏洩から保護する安全な検索エンジンを使用します。

関連： あなたのデータを尊重する最高のプライベート検索エンジン

ユーザーとして、ウェブ上で本人確認を行うために、Google認証システムやその代替手段などのサードパーティの認証システムに依存することもできます。

攻撃者によるセッションの乗っ取りを阻止するのは無力だと感じるかもしれませんが、ブラウザにパスワードやその他のログイン情報などの情報が保存されないようにすることで、これを防ぐことができます。

Webセキュリティを強化する

開発者は、開発および展開中にセキュリティ違反がないかWebアプリを定期的にテストする必要があります。

ただし、他の脆弱性を防止しようとしているときに、他の脆弱性を導入することは一般的です。したがって、CSRFをブロックしようとしているときに、他のセキュリティパラメータに違反していないことを確認するように注意してください。