テクノロジ
CSRFとは
英語名：Cross-Site Request Forgery
ひとことで言うと：ログイン済み利用者のブラウザに、本人の意図しないリクエストを正規サイトへ送信させる攻撃。
意味をわかりやすく解説
CSRFでは利用者が正規サイトへログインした状態を悪用し、攻撃者のページなどから送られたリクエストに認証Cookieが自動付与されることで、不正な設定変更や送金などを実行させる可能性があります。
対策として推測困難なCSRFトークンの検証、SameSite Cookie、重要操作での再認証などがあります。XSSがブラウザ内で攻撃スクリプトを実行するのに対し、CSRFは正規利用者の権限で意図しない要求を送らせる攻撃です。
具体例
銀行へログイン中の利用者が攻撃者のページを開いた結果、本人のCookie付きで送金リクエストが銀行へ送られる。
似た用語との違い
XSS
CSRFは正規機能へ意図しない要求を送らせ、XSSは悪意あるスクリプトを閲覧者のブラウザで実行します。
基本情報技術者試験の試験ポイント
XSSとの違いを明確にします。CSRFでは『正規サイトへの正規利用者権限のリクエスト』を悪用します。
CHECK QUESTION
CSRF対策で、フォームごとに利用者セッションと結び付いた推測困難な値を埋め込み、送信時に照合する仕組みは何ですか。
答えを見る
CSRFトークンです。
この説明は分かりやすかったですか？
基本情報技術者試験を勉強中ですか？
この用語を含む重要用語を、単語帳や4択テストで学習できます。