CSRF（クロスサイトリクエストフォージェリ）とは？仕組み・被害・対策を徹底解説

CSRFとは何か

CSRF（Cross-Site Request Forgery：クロスサイトリクエストフォージェリ）とは、悪意のあるWebサイト、ブログ、メール、インスタントメッセージ、Webアプリケーションなどを通じて、ユーザーがすでに認証済みの信頼できるサイトへ不正なリクエストを送信させ、意図しない操作を実行させる攻撃手法です。

この攻撃は「XSRF」「Sea Surf」「セッションライディング（session riding）」などとも呼ばれます。攻撃者は、ユーザーがログイン資格情報を持つ別のアプリケーションに対して、本人が気づかないうちに望まない操作を行うよう仕向けます。CSRF攻撃が成功した場合、企業とエンドユーザーの双方に深刻な被害が及ぶ可能性があります。

CSRF攻撃の仕組み

CSRFは、認証済みのユーザーに対し、そのユーザーがすでにログインしているWebアプリケーションへリクエストを送信させる「横方向移動（ラテラルムーブメント）」型の攻撃です。攻撃者の目的は、ユーザーに状態を変更するリクエスト（例：パスワード変更、送金、設定変更など）を実行させることにあります。

重要なポイントとして、偽造されたリクエストの内容を攻撃者自身は直接見ることができません。そのため、CSRF攻撃はデータ窃取よりも「状態の変更」に焦点が置かれるのが特徴です。

CSRF攻撃の原因

CSRF攻撃は、攻撃者が無害なエンドユーザーを騙し、本人が送信するつもりのない情報を送信させるときに発生します。これにより、クライアントやサーバーのデータが意図せず漏洩したり、セッションの状態が変更されたり、ユーザーアカウントが不正に操作されたりする恐れがあります。

CSRF対策の基本：トークンの活用

CSRFへの最も基本的な防御策は「CSRFトークン」の利用です。フォームにトークンを含めておくことで、攻撃者はトークンを推測できない限り、被害者に不正なリクエストを送信させることができなくなります。この防御機構の有効性において、暗号学的な安全性は不可欠な要素です。

CSRFトークンは、攻撃者が被害者に送り込めるようなHTTPリクエストを構築することを困難にすることで、WebサイトをCSRF攻撃から守ります。

HTTPSでは防げない

よくある誤解ですが、ページをHTTPSで配信してもCSRFは防止できません。ブラウザとサーバー間の通信を暗号化することは、CSRF対策としては意味を持たない点に注意が必要です。

ヘッダ比較だけでは不十分

一般に、攻撃者はサーバーのヘッダを容易に操作できます。既存のサーバーヘッダとの比較だけではCSRF攻撃を回避できないため、一致するCSRFトークンを必ず提供しなければなりません。状態変更につながる可能性のあるアクションには、必ずCSRFトークンを送信する必要があります。

推奨されるCSRF対策の実装方法

アプリケーションでCSRFを緩和するためには、「ステートフル（stateful）」または「ステートレス（stateless）」の2種類のトークンベース防御のいずれかを採用することが推奨されます。

• ステートフルなソフトウェアの場合：シンクロナイザートークンパターン（Synchronizer Token Pattern）を使用します。
• ステートレスなソフトウェアの場合：ダブルサブミットクッキー（Double Submit Cookie）を使用します。

また、特に機密性の高い操作については、追加の認証ステップやワンタイムトークンによる多要素的な確認を組み合わせることで、より強固な防御を実現できます。トークンベースの対策は、これらの施策と併用することでリスク低減に大きく貢献します。

まとめ：CSRF対策のベストプラクティス

CSRF対策で最も確実なのは、利用しているフレームワークに組み込まれたCSRF保護機能を活用することです。加えて、ステートフルなシステムではシンクロナイザートークンパターン、ステートレスなシステムではダブルサブミットクッキーを採用することがベストプラクティスとされています。HTTPSだけでは防げないことを理解し、トークン検証を適切に実装することが、安全なWebアプリケーション運用の鍵となります。