高木浩光＠自宅の日記 - クロスサイトリクエストフォージェリ（CSRF）対策がいまいち進まなかったのはなぜか

■ クロスサイトリクエストフォージェリ（CSRF）対策がいまいち進まなかったのはなぜか 4月27日の日記「クロスサイトリクエストフォージェリ（CSRF）の正しい対策方法」で、 「クロスサイトリクエストフォージェリ」がにわかに注目を集めている。古くから存在したこの問題がなぜ今まであまり注目されてこなかったかについて考えているところだが、引越しやら転勤やらでいまひとつ日記を書く時間がない。 と書いた。あれから2か月以上が経ってしまったが、今書いておく。 端的に言えば、「CSRF対策は所詮、荒らし対策にすぎない」 と考えられてきたためではないか。 荒らし対策をするしないは運営者の自由 あるサイトに脆弱性を発見した者が、その運営者に対してその脆弱性を直して 欲しいと希望することが、どのくらい妥当かというのは、その脆弱性によって 生じ得る危険性の種類によって異なる。 たとえば、IPA の脆弱性届出状

[love0hate]

古い記事だが、先の犯罪予告冤罪事件をみると、荒らしも対策しないといけない時代になったりするのかな。

[setamise]

『IPAへの脆弱性届出は「被害が不特定多数の者に影響を及ぼし得るもの」が範囲とされCSRFは適用外と見る動きもあった。だがPW強制変更など今やCSRFは看過できない。大きな被害のでるケースについて対策が必要』

[miya2000]

「IPAへの届出で期待されているのは、サイトの利用者に被害が及ぶ種類の脆弱 性である。」/「CSRF」「それによって起き得る被害の性質に大きな幅がある」

[nilab]

高木浩光＠自宅の日記 - クロスサイトリクエストフォージェリ（CSRF）対策がいまいち進まなかったのはなぜか

[tsupo]

去年もこの改正は見送られており、いまだその抑止効果は有効になっていない。

[donayama]

前回の内容に追記。

[wacky]

CSRFの被害は荒らし行為に留まらない。それでも対策が送れているのは開発技術者の美学によるものとの推察。

[akiyan]

CSRFは怖いですよ。