徳丸浩の日記: 問題：CSRFの防止策に関するチートシートにツッコミを入れる

この記事は「問題：間違ったCSRF対策～中級編～」の続編です。当初上級編を意図しておりましたが、後述する事情により、級の指定は外しました。 はじめに 問題は、OWASPから出ているCross-Site Request Forgery (CSRF) Prevention Cheat Sheet（JPCERT/CCによる邦訳「クロスサイトリクエストフォージェリ (CSRF) の防止策に関するチートシート」）にツッコミを入れてもらおうというものです。具体的には、このチートシート（カンニングペーパーの意）のDouble Submit Cookie（Cookie の二重送信）の箇所です。以下、JPCERT/CC訳で該当箇所を引用します。 Cookie の二重送信 Cookie の二重送信は、Cookie およびリクエストパラメーターの双方でランダムな値を送信し、サーバー側で Cookie の値とリク

[n2s]

解答→https://blog.tokumaru.org/2018/11/csrf_26.html

[n314]

このブログの何年か前の記事に答えが書いてあるやつだろうか。

[t_yamo]

しれっとカンニングするなど。aは最近見たシステムでCSRF対策は別方式だけどセッションの扱いで類似のつらみがあったので解った。bは単純に設計不備としてちゃんとした流れは考えなかった。他のシナリオは浮かばず。

[ockeghem]

CSRF対策バグ問題の上級編として企画したものですが、諸般の事情により級を外しました。詳しくは本文を御覧ください