[B! cookie] 2022年1月においてCSRF未対策のサイトはどの条件で被害を受けるか

rochefort samesite // 2分間ルール

csrf

2022/02/02 リンク

iga_k 説明がわかりやすいありがたい

2022/01/31 リンク

emonkak “samesite属性を指定しないCookieはsamesite=laxの扱いを受けますが、Cookieが生成されてから2分経過してからsamesite=laxになる”

web
security

2022/01/30 リンク

efcl samesite属性とCSRFについて

security

2022/01/29 リンク

raimon49 Cookie生成後2分間はsamesite=laxとしない仕様があり、2022-01現在、ChromeとFirefoxでは微妙に挙動が異なるという詳説。何にせよ緩和策に過ぎないためWebサイト側は更新処理をPOSTメソッドで受け付けるよう留意が必要。

2022/01/27 リンク

t_motooka 2分間ルールの細かい挙動知らなかった。なるほどー。

2022/01/27 リンク

bouzuya SameSite=Lax

2022/01/27 リンク

t-murachi 2分間ルールは何のために設けられてるんだろう…(´・ω・`)

セキュリティ

2022/01/27 リンク

odakaho “samesite=laxのクッキーはサイトに送信されず、ログイン状態にはならないためCSRF攻撃も成立しない” “Cookieが生成されてから2分経過してからsamesite=laxになる” “Google Chromeはsamesite=noneの時間が2分間延長”

2022/01/27 リンク

sawarabi0130 こんにちはこんにちは!!

2022/01/27 リンク

yosuke_furukawa "最新のGoogle ChromeおよびFirefoxにおいて、samesite属性を指定しないCookieはsamesite=laxの扱いを受けますが、Cookieが生成されてから2分経過してからsamesite=laxになる仕様になっています。" 知らなかった。。

2022/01/26 リンク