クロスサイトリクエストフォージェリ（CSRF）

Cross-Site Request Forgeries

　想定していない外部のサイトからのHTTPリクエストにより、本来拒否すべき処理が実行させる攻撃。例えばログイン認証が必要な掲示板や日記サービスに対して、別のWebサイトに用意されたリンクをクリックすることで、掲示板への投稿や退会処理など、正規のアカウントでログインを行わなければできないような処理が実行されてしまう。

　サーバが必要とする情報が攻撃者によって予測できるもののみで構成されている場合、この方法での攻撃が成立してしまう。

　Webアプリケーション側での対策として、リファラーを利用しリクエストの発信元が正しいかを確認する方法や、想定したページ遷移にて処理が行われていることをCookieを使って確認する方法がある。

　また、エンドユーザー側にてこまめにログアウトを行うことも有効な対策となりうる。ただしこの場合でも同一サイト内で攻撃された場合は実行されてしまうため、不審なリンクはクリックしないなどの基本的な対応が必要である。

関連記事

■CSRF（ITmedia Keywords）
■「ぼくはまちちゃん」 ――知られざるCSRF攻撃

関連用語

■クロスサイトスクリプティング

リンク

■情報セキュリティ白書 2006 年版 - 10 大脅威「加速する経済事件化」と今後の対策 -
Security&Trust フォーラム 新着記事

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）

RSSフィード

＠IT 新着記事

アイティメディアの提供サービス

TechTargetジャパン

キャリアアップ

＠IT Sepcial
→ ＠IT Special ヘ
- PR -
＠IT Sepcial
→ ＠IT Special ヘ
ソリューションFLASH