SGセキュリティ · 情報セキュリティ

クロスサイトリクエストフォージェリ

Cross-Site Request Forgery

くろすさいとりくえすとふぉーじぇり

ログイン中の利用者に、本人の意図しないリクエストを別サイト経由で送信させ、退会や送金などの操作を実行させる攻撃。処理ごとに秘密のトークンを埋め込んで検証することで防ぐ。

共有:

他の資格での定義

ログイン中のユーザーに悪意のあるリンクを踏ませ、ユーザーの意図しないリクエストをWebアプリケーションに送信させる攻撃。CSRFと略される。

ログイン中の利用者に、本人の意図しない操作要求を別のサイトから送らせる攻撃。CSRFと略す。掲示板への書込みや設定変更をさせられる。要求ごとの秘密のトークンで正当性を確かめて防ぐ。

ログイン状態の利用者に罠のページを踏ませ、本人の意図しない更新要求を正規サイトへ送らせる攻撃。ブラウザが自動送信するCookieを悪用する。要求ごとに推測困難なトークンを埋め込み照合することで防止する。

ログイン済みの利用者に対し、攻撃者が用意した罠のWebページを経由して、利用者の意図しないリクエストを正規のWebサイトに送信させる攻撃。対策としてCSRFトークンの埋め込みと検証、SameSite属性付きCookieの使用、Refererヘッダの検証がある。

ログイン中の利用者に攻撃者が用意した罠のWebページを閲覧させ、利用者が意図しないリクエスト（送金、設定の変更、書込みなど）を正規のWebサイトへ送信させる攻撃。利用者のセッションのまま処理されるため、推測が困難なトークンの照合や、重要な操作の前の再認証で対策する。

Past Exams

過去問で 17 回出題（情報処理安全確保支援士試験 9・応用情報技術者試験 2・ネットワークスペシャリスト試験 2・高度試験午前Ⅰ 2・ITストラテジスト試験 1・システムアーキテクト試験 1）

残り 7 件を表示

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。