【インターネット専門用語No.142】今更聞けない！クロスサイトリクエストフォージェリ (CSRF)をサクッと解説

クロスサイトリクエストフォージェリ (CSRF)とは、悪意のあるウェブサイトが他のウェブサイトにリクエストを送信させる攻撃手法です。この攻撃により、ユーザーが意図しない操作を行わせることが可能になり、セキュリティ上のリスクを生じさせます。この記事では、CSRFの基本的な概念からその背景、具体的な例、そして利用場面までを詳しく解説します。

Table of Contents

クロスサイトリクエストフォージェリ (CSRF)とは？

クロスサイトリクエストフォージェリ (CSRF)は、ウェブアプリケーションのセキュリティ脆弱性を突く攻撃です。この攻撃は、認証されたユーザーが意図しないアクションをサーバーに送信させることを目的としています。攻撃者はユーザーが認証されている状態を利用し、そのセッションに紛れてリクエストを実行させます。

わかりやすい具体的な例

わかりやすい具体的な例1

例えば、あるオンライン銀行にログインしているユーザーが、攻撃者が仕込んだウェブサイトを訪れたとします。そのサイトでは、無意識のうちに銀行口座に振り込みを行うリクエストが送信されます。ユーザーが振込を確認しなくても、攻撃者は銀行システムを悪用できるのです。

graph LR A[ユーザーが銀行サイトにログイン] --> B[攻撃者が悪意のあるサイトを準備] B --> C[ユーザーがサイトを訪問] C --> D[無意識の振込リクエストが送信される] D --> E[銀行サーバーがリクエストを受け取り実行] E --> F[ユーザーのアカウントから不正送金]

この図では、ユーザーがログイン状態のままで攻撃者のサイトを訪れた結果、銀行への振り込みリクエストが送信される流れを示しています。攻撃者はユーザーのセッションを悪用して、不正に操作を行うことができます。

わかりやすい具体的な例2

別の例では、ソーシャルメディアアプリケーションにログインしているユーザーが、攻撃者が仕掛けたウェブサイトを訪れると、無意識のうちに投稿やコメントが自動的に送信されることがあります。これも、CSRF攻撃の一環であり、攻撃者はユーザーの権限で不正に操作を実行します。

graph LR A[ユーザーがソーシャルメディアにログイン] --> B[攻撃者が悪意のあるサイトを準備] B --> C[ユーザーがサイトを訪問] C --> D[無意識の投稿リクエストが送信される] D --> E[ソーシャルメディアサーバーがリクエストを受け取り実行] E --> F[ユーザーアカウントに不正な投稿]

このケースでは、ユーザーが知らない間に攻撃者によって投稿が行われ、ソーシャルメディア上に不正なコンテンツが公開されます。

クロスサイトリクエストフォージェリ (CSRF)はどのように考案されたのか

CSRFは、2000年代初頭にウェブアプリケーションのセキュリティ研究者によって発見されました。それ以前、ウェブアプリケーションはユーザーのリクエストを認証するためのセキュリティ対策が十分にされていなかったため、攻撃者が意図的にリクエストを送ることが可能でした。この脆弱性は、特にセッション管理や認証の方法に関連していました。

graph LR A[ウェブアプリケーションにセキュリティの欠如] --> B[攻撃者がCSRFを発見] B --> C[攻撃者による不正リクエスト] C --> D[CSRF攻撃の認識]

考案した人の紹介

CSRFを発見した人物は、ウェブアプリケーションのセキュリティ分野で広く知られている研究者です。彼はウェブのセキュリティ問題に取り組む中で、ユーザー認証を利用した攻撃手法に気付き、この問題を公開しました。彼の発見は、多くの企業にセキュリティ強化の必要性を認識させました。

考案された背景

CSRFの発見は、インターネットの商業利用が進んでいた2000年代初期のことでした。多くのオンラインサービスが登場し、個人情報を扱うウェブサイトのセキュリティ問題が浮き彫りになりました。この背景から、ウェブセキュリティ分野の研究者たちは、より強固な認証メカニズムの開発に着手するようになりました。

クロスサイトリクエストフォージェリ (CSRF)を学ぶ上でつまづくポイント

CSRF攻撃を理解する上で多くの人が混乱する点は、攻撃の実行がユーザーの意図しないタイミングで起こることです。ユーザーが攻撃に気づかないうちに、攻撃者はユーザーの権限でリクエストを送信し、サーバーがそれを許可してしまいます。特に、セッション管理やクッキーの取り扱いが関わってくるため、これを理解することが重要です。

クロスサイトリクエストフォージェリ (CSRF)の構造

CSRF攻撃は、攻撃者がユーザーを別の悪意のあるサイトに誘導し、ユーザーの権限を利用してサーバーに不正なリクエストを送らせる仕組みです。この攻撃は、ユーザーが意図しない形でウェブサービスに対して操作を実行させることに成功します。

graph LR A[攻撃者が悪意のあるサイトを準備] --> B[ユーザーが訪問する] B --> C[攻撃者がリクエストを埋め込む] C --> D[ユーザーが無意識にリクエストを送信] D --> E[サーバーがリクエストを許可] E --> F[攻撃者の目的が達成される]

クロスサイトリクエストフォージェリ (CSRF)を利用する場面

CSRFは、特にセッション管理が甘いウェブサービスや、ユーザーの権限を誤って確認するシステムにおいて利用されます。攻撃者は、ユーザーに無断で不正操作をさせるために、特定のリクエストを送信させます。

利用するケース1

あるオンラインショッピングサイトでは、ユーザーが商品をカートに追加する操作を行うと、攻撃者がその操作を強制的に実行させることができます。これにより、ユーザーが意図しない商品を購入させることが可能になります。

graph LR A[ユーザーが商品をカートに追加] --> B[攻撃者がリクエストを送信] B --> C[無意識に商品の購入が実行される] C --> D[不正に商品が購入される]

利用するケース2

あるSNSでは、攻撃者がユーザーのアカウントで投稿を行わせたり、特定のリンクをクリックさせたりすることが可能です。これにより、ユーザーが自分の意思に反してコンテンツを公開することになります。

graph LR A[ユーザーがSNSにログイン] --> B[攻撃者がリンクを送信] B --> C[ユーザーがリンクをクリック] C --> D[無意識に投稿が行われる]

さらに賢くなる豆知識

CSRF攻撃を防ぐためには、セッションの管理が重要です。特に、POSTリクエストにはCSRFトークンを含めることで、リクエストが正当なものであるか確認できます。また、RefererヘッダーやSameSiteクッキーの利用も効果的な防御策です。

あわせてこれも押さえよう！

CSRFを理解するためにあわせて学ぶべきインターネット専門用語を紹介します。

セッションハイジャック

セッションハイジャックとは、攻撃者がユーザーのセッションを乗っ取り、その権限で不正な操作を行うことです。

XSS (クロスサイトスクリプティング)

XSSは、攻撃者がウェブサイトに悪意のあるスクリプトを埋め込む攻撃手法です。

クロスオリジンリソース共有 (CORS)

CORSは、異なるオリジン間でリソースを共有するためのセキュリティ機能です。

認証

認証は、ユーザーが自分自身であることを証明するためのプロセスです。

HTTPS

HTTPSは、通信を暗号化してセキュリティを高めるプロトコルです。

まとめ

CSRFを学ぶことで、ウェブセキュリティの重要性を理解し、ユーザー認証の脆弱性を避ける方法を学ぶことができます。これにより、ウェブアプリケーションの開発者はセキュリティを強化し、攻撃者からのリスクを減らすことができます。