クロスサイトリクエストフォージェリ (CSRF)
Cross-Site Request Forgery (CSRF)
Cross-Site Request Forgery (CSRF)、別名セッションライディングとは、悪意のあるウェブサイトやメールがユーザーに対し、認証済みの別のサイトで望ましくない行動を促すサイバーセキュリティ攻撃です。この攻撃は、ユーザーが他のサイトでのアクティブなセッションを利用して、許可されていないコマンドを実行するものです。例えば、資金の送金や設定の変更などです。
重要な概念と定義
CSRFは、攻撃者がユーザーのブラウザとログインしているウェブサイトとの信頼関係を悪用することを可能にするセキュリティ脆弱性の一種です。攻撃者はユーザーのブラウザをだまして、ユーザーの知らないところで他のウェブサイトにリクエストを送信させます。
CSRF攻撃を実行するには、攻撃者は通常、ユーザーに細工されたリンクやメールを送信します。ユーザーがそのリンクをクリックしたりメールとやり取りをすると、ブラウザがターゲットのウェブサイトにリクエストを送信し、ユーザーのアクティブなセッションを利用して、ターゲットのウェブサイトに対してユーザーの代わりにアクションを実行させます。
悪意のあるウェブサイトやメールには、隠しフォーム、画像、またはJavaScriptコードが含まれていることがあり、これがターゲットのウェブサイトでのアクションを自動的にトリガーします。リクエストがユーザーのブラウザから送信されるため、ターゲットのウェブサイトはそれを正当なリクエストと認識し、ユーザーが知らないうちに要求されたアクションを実行します。
CSRFの仕組み
攻撃の作成: 攻撃者は、ユーザーに無害または魅力的に見える悪意のあるリンクやメールを作成します。これには、偽のログインページや人気のあるサービスを模倣したウェブサイトへのリンクが含まれることがあります。
ユーザーの関与: ユーザーが細工されたリンクをクリックしたり、悪意のあるメールとやり取りをします。これにより、ユーザーのブラウザがターゲットのウェブサイトにリクエストを送信します。
アクティブセッションの悪用: ユーザーのブラウザから送信されたリクエストには、ユーザーのセッションクッキーや認証情報が含まれています。ターゲットのウェブサイトは、ユーザーのアクティブなセッションのおかげでリクエストを正当なものと見なし、その要求を処理し、攻撃者が指定したアクションを実行します。
望ましくないアクション: ターゲットのウェブサイトは、ユーザーの代わりにアクションを実行し、アカウント設定の変更、詐欺的な取引、またはユーザーデータの削除などを含む可能性があります。
防止のヒント
CSRF攻撃は有害である可能性がありますが、ユーザーとウェブサイトのオーナーがリスクを軽減するために取ることができる予防策がいくつかあります：
Web Application Firewall: Web Application Firewall (WAF)を導入することで、潜在的なCSRF攻撃を検出し、フィルタリングするのに役立ちます。WAFは受信リクエストを分析し、疑わしいまたは許可されていないリクエストをブロックできます。
Anti-CSRF Tokens: ウェブサイトのオーナーは、CSRF攻撃から保護するためにAnti-CSRFトークンを実装できます。これらのトークンは、ユーザーリクエストごとに埋め込まれた一意の検証可能なトークンです。フォームを送信したりリクエストを行う際に、サーバーがトークンを確認し、期待値と一致するかどうかを確認します。トークンが存在しないか不正確な場合、サーバーはリクエストを拒否します。
重要なアカウントからのログアウト: 重要なアカウントにアクセスしたり、機密活動を行う際にはログアウトするか、別のブラウザセッションを使用することをお勧めします。これにより、ユーザーのアクティブなセッションが悪意のあるウェブサイトによって悪用されるリスクが減少します。
ユーザー教育: サイバーセキュリティのベストプラクティスについてのユーザー教育を促進します。ユーザーは、メール内のリンクをクリックする際に注意を払い、特に不明または疑わしいものに注意する必要があります。ログイン資格情報を入力したり、機密性の高いアクションを行う前に、ウェブサイトの真正性を確認することが重要です。
CSRF攻撃の例
銀行振込: 攻撃者がユーザーに対し、プロモーションや特別オファーに繋がると主張する悪意あるリンクを送信します。ユーザーがリンクをクリックすると、そのブラウザがユーザーのオンラインバンキングウェブサイトにリクエストを送信し、攻撃者のアカウントに資金を送金します。
設定の変更: 攻撃者が悪意のあるウェブサイトを訪問するようユーザーをだまします。サイトには隠されたフォームが含まれており、送信されると、異なるウェブサイトでユーザーのアカウント設定を変更する、例えばメールアドレスやパスワードの変更などを行います。
ソーシャルメディアの投稿: 攻撃者がユーザーの許可なくコンテンツを投稿するウェブサイトを作成します。ユーザーが悪意のあるウェブサイトを訪れると、そのブラウザが認証済みのソーシャルメディアアカウントで投稿アクションをトリガーします。
関連用語
Session Hijacking: Session Hijackingは、攻撃者がユーザーのアクティブセッションに不正にアクセスするタイプの攻撃です。セッションクッキーやセッションIDを盗むことで、攻撃者はユーザーになりすまし、その代わりに行動を実行することができます。
Cross-Site Scripting (XSS): Cross-Site Scripting (XSS)は、CSRFに類似した攻撃で、他のユーザーによって表示されるウェブページに悪意のあるスクリプトを注入するものです。XSSは、攻撃者が脆弱なサイトのコンテキスト内で被害者の代わりにアクションを実行することを可能にします。