高木浩光＠自宅の日記 - CSRF対策は進んでいるか

■ CSRF対策は進んでいるか 7月3日の日記で「クロスサイトリクエストフォージェリ（CSRF）対策がいまいち進まなかったのはなぜか」というのを書いたが、 ようするに、CSRF攻撃によってどんな被害が起きるのかが、各サイトの各ペー ジごとに異なり、その差が大きいため、一律に対策が必要ということは誰にも 言い出せなかったためと思われる。日記で、 たとえば、4月19日の「水無月ばけらのえび日記」などにも書かれているように、パスワード変更機能で旧パスワードの同時入力がないと、CSRFによってパスワードを強制的に任意の文字列に変更されてしまうという脅威があることになる。変更したパスワードで不正アクセスされれば、それによって起きる被害は、ユーザに降りかかってくる。 他にも、ログイン中のWeb操作で変更が可能な設定項目によって、公開か非公開かを変更できるようなシステムの場合、非公開にしていたはずのコン

[yorihito_tanaka]

はまちちゃん

[akiyan]

ちょっとした認証ハッシュをつけるだけでCSRF対策は可能。認識してからは欠かさず対策しています。