解答：CSRFの防止策に関するチートシートにツッコミを入れる

この記事は、先日の記事「問題：CSRFの防止策に関するチートシートにツッコミを入れる」に対する解答編です。まだ問題を見ていない方は、先に問題を読んで（できれば自分で解答を考えて）からこの記事をお読みいただくとよいと思います。 それでは、解答を説明します。 設問: チートシート旧版の翻訳であるJPCERT/CC訳（以下の引用部分）を元に以下の設問に答えよ。 引用（再掲） Cookie の二重送信 Cookie の二重送信は、Cookie およびリクエストパラメーターの双方でランダムな値を送信し、サーバー側で Cookie の値とリクエストの値が等しいかどうか検証する手法です。 ユーザーがサイトにログイン するとき、サイトは暗号強度の高い疑似ランダム値を生成し、その値を Cookie としてユーザーのマシンに、セッション ID とは別に送ります 。どんな形であれ、サイトはこの値を保存しておく必

[mumincacao]

Cookie も CORS と同じるーるで動作してくれたらすっきりするのにもう手遅れなのかなぁ？ さぶどめいんや中間者攻撃に対しては暗号化 Cookie ぐらいしか対処法思いつかないなぁ・・・ （・ｘ【みかん

[nishitki]

ダブルサブミット　クッキー

[tmatsuu]

Cookieの二重送信の実装って1つのブラウザ複数ページ開いてる時でもきちんと動作するように実装されてるのか気になるね。脆弱性ではないけども。

[Dai_Kamijo]

“解答：CSRFの防止策に関するチートシートにツッコミを入れる | 徳丸浩の日記” — 徳丸 浩 (@ockeghem) November 27, 2018 from Twitter https://twitter.com/Dai_Kamijo November 27, 2018 at 04:59PM via IFTTT