リクエスト強要
(CSRF、Cross Site Request Forgery)
リクエスト強要(Cross Site Request Forgery、以下CSRF)とは、不特定多数を対象にログインしたユーザーが自分の意志とは関係なく攻撃者が意図した行為をさせる攻撃を意味します。
リクエスト強要(Cross Site Request Forgery、以下CSRF)は、特定のユーザーを対象とせず、不特定多数を対象にログインしたユーザーが自分の意志とは関係なく、攻撃者の意図(修正、削除、登録、送金など)どおりに攻撃を実行します。リクエスト強要は、基本的にクロスサイトスクリプティング(以下XSS攻撃)と非常に類似で、XSS攻撃の発展型とも見られます。しかし、XSS攻撃は悪性スクリプトがクライアントで実行されるのに対し、リクエスト強要攻撃はユーザーが悪性スクリプトをサーバに要請するという違いがあります。
それでは、CSRF攻撃がどう行われるかその過程を見てみましょう。CSRF攻撃の一例です。CSRFアタックを利用すれば、攻撃者は特定物品を購入しショッピングカートに入れたまま、品物に対する決済を他人を通じて行うことが可能です。
上記のCSRF攻撃は、「wishfree」というアカウントに対して、注文した品物を10,000ウォン(約1000円)で決済するという内容を含めています。結果的には、上記のCSRF攻撃が行われた掲示物を閲覧する任意のユーザーは、wishfreeが注文した品物を代わりに決済するようになります。
一般的にリクエスト強要が成立するには、修正・削除・登録するアクションでユーザーを分けるパラメーターの値が存在してはいけません。特定のユーザーを区別する要素があれば、一つのユーザーにのみ適用されたり、認証過程を通じてCSRFの攻撃を防ぐことができます。
