XSRF（CSRF）とは？ネットワークセキュリティにおける脅威の仕組みと対策を徹底解説

XSRF（CSRF）とは何か

XSRFは「Cross-Site Request Forgery（クロスサイトリクエストフォージェリ）」の略称で、CSRFとも呼ばれます。その他にも「Sea Surf」「Session Riding（セッションライディング）」など、さまざまな呼び名があります。この攻撃は、ユーザーがすでにログインしている別のWebアプリケーションに対し、ユーザーの意図しない操作を実行させる手口です。攻撃が成功すると、企業とエンドユーザーの双方に深刻な被害をもたらす可能性があります。

Webアプリケーションは、一度認証されたユーザーからのリクエストを信頼する傾向があります。CSRFはこの「信頼」を悪用する攻撃であり、最も一般的なWebアプリケーションの脆弱性の一つとされています。

CSRF攻撃の仕組み

CSRF攻撃では、悪意のあるWebサイト、ブログ、メール、インスタントメッセージなどを通じて、ユーザーがすでに認証情報を登録している信頼済みサイトへ不正なリクエストを送信させます。攻撃者の目的は、ユーザーに気づかれないまま「状態を変更するリクエスト」を実行させることです。

この攻撃が狙うのは、サーバー上で状態変化を引き起こす機能です。具体的には、以下のようなものが挙げられます。

• メールアドレスやパスワードの変更
• 送金などの取引処理
• 設定の変更など、サーバーの状態を書き換える操作

一方で、データの取得だけを強制しても、レスポンスは被害者自身に返されるため、攻撃者にはほとんど利益がありません。そのため、CSRF攻撃は主に「状態を変更する操作」を標的とします。

攻撃の具体例

攻撃者がCSRF攻撃の実行に成功すると、被害者は意図しない操作を行ってしまいます。例えば、以下のような被害が考えられます。

• 登録済みのメールアドレスを攻撃者のものに変更される
• パスワードを勝手に変更され、アカウントを乗っ取られる
• 本人の意思とは無関係に送金処理を実行させられる

XSRFトークンとは

CSRFの脆弱性からアプリケーションを守る対策として広く使われているのが「CSRFトークン」です。これは、サーバーサイドのアプリケーションが生成する、秘密性の高い一意で予測不可能な値です。サーバー側はクライアントからのHTTPリクエストに応答する形でトークンを作成・送信し、以降のリクエストが正当なものかどうかを検証します。

XSRFトークンの取得方法

XSRFトークンを取得するには、クライアントが「X-CSRF-Token: Fetch」というヘッダーを含む、データを変更しないHTTPメソッド（GETなど）でリクエストを送る必要があります。トークンは認証済みユーザーにのみ発行され、未認証のユーザーが変更操作を試みた場合、フィルターによってリクエストが拒否されます。

AngularJSにおけるXSRF-TOKENクッキー

AngularJSでは、リクエスト送信時に「XSRF-TOKEN」という名前のクッキーの値をヘッダーに自動的に含めます。この処理は人手を介さず自動で行われるため、クライアント側で明示的にヘッダーを設定する必要はありません。ただし、サーバー側にはヘッダーの内容を検証する仕組みを実装しておく必要があります。

CSRFへの効果的な対策

CSRFトークンとOriginヘッダーの併用

Referrerヘッダーは偽装されやすいため、それ単体をセキュリティ対策として過信することは推奨されません。ただし、被害者のブラウザがReferrerヘッダーを改ざんすることはできないため、Referrerの検証にも一定の効果があります。OWASP（Open Web Application Security Project）では、CSRFトークンをOriginヘッダーの検証と組み合わせて使用することを推奨しています。

SameSite属性による防御

クッキーのSameSite属性も、CSRF対策として有効な手段です。SameSite属性を適切に設定することで、サードパーティのサイトからのリクエストにクッキーが送信されるのを防ぎ、多くの場合、CSRF攻撃を回避できます。

ただし、SameSite属性だけで完全な防御を保証できるわけではありません。SameSite属性と、安全なアンチCSRF機構（CSRFトークンなど）を組み合わせることで、より強固に環境を保護できます。多層防御の観点から、複数の対策を併用することがベストプラクティスといえるでしょう。

まとめ

XSRF（CSRF）は、ログイン済みユーザーの信頼関係を悪用し、意図しない操作を実行させる深刻な脅威です。CSRFトークンの導入、SameSite属性の設定、Originヘッダーの検証など、複数の対策を組み合わせることで、リスクを大幅に低減できます。Webアプリケーションを開発・運用する際は、これらの対策を早い段階で実装することを心がけましょう。