Webセキュリティ

- クロスサイト・リクエスト・フォージェリとはクロスサイト・リクエスト・フォージェリ（CSRF）は、Webアプリケーションのセキュリティ上の欠陥を悪用した攻撃手法です。利用者が意図しない不正な操作を、Webサイト上で実行させてしまう危険性を持っています。例えば、あなたが普段利用しているオンラインバンキングのサイトにログインしたままの状態だとします。そして、悪意のある第三者が作成した、一見 harmless なWebサイトにアクセスしたとします。実はそのサイトには、オンラインバンキングのサイトに送金処理を実行させるような不正なプログラムが仕込まれていることがあります。あなたがそのサイトにアクセスした瞬間、ログイン済みのオンラインバンキングサイトに、裏で自動的に送金処理の要求が送信されてしまうかもしれません。これがクロスサイト・リクエスト・フォージェリです。この攻撃が怖いのは、利用者が不正な操作を実行していることに全く気づかないという点です。気が付いたら銀行口座からお金が引き出されていた、なんてことも起こりえます。CSRF対策としては、Webアプリケーション側で適切な対策を講じることが重要です。例えば、重要な処理を実行する際には、ワンタイムトークンと呼ばれる使い捨ての認証情報を発行するなどの対策が有効です。

- クロスサイトリクエストフォージェリとはクロスサイトリクエストフォージェリ（CSRF）は、ウェブアプリケーションのセキュリティ上の欠陥を突いた攻撃手法の一つです。利用者が意図しない操作を、ウェブサイト上で実行させてしまう危険性をはらんでいます。CSRF攻撃では、攻撃者は悪意のあるウェブサイトやメールなどを介して、利用者を騙して特定の操作を実行させようとします。例えば、利用者が普段利用しているショッピングサイトにログインしたままの状態だとします。そこに、攻撃者が用意した、一見無害に見える画像やリンクが仕込まれたウェブサイトを閲覧してしまうとします。すると、その裏側では、利用者に気付かれることなく、攻撃者が用意した悪意のあるリクエストがショッピングサイトへと送信されてしまうのです。このリクエストは、利用者がすでにショッピングサイトにログインしている状態であることを利用して、例えば、住所変更や商品購入、さらにはパスワード変更など、様々な操作を実行してしまう可能性があります。利用者は、ただウェブサイトを閲覧しただけで、あるいは画像を見ただけで、意図しない操作を実行させられてしまうため、被害に遭っていることに気付きにくいという点が、CSRF攻撃の大きな特徴です。CSRF攻撃から身を守るためには、ウェブサイト側で適切な対策を講じることが重要です。例えば、リクエストの送信元に正当なウェブサイトであることを確認する仕組みを導入したり、重要な操作を行う際にはパスワードの再入力を求めたりするなどの対策があります。また、利用者側も、不審なウェブサイトへのアクセスを避けたり、こまめにウェブサイトからログアウトしたりするなど、日頃からセキュリティ意識を高めておくことが重要です。