クッキーのSameSiteプロパティに対するCSRF攻撃を防ぐ

クズども · 2022年4月17日 20:24:47に投稿

SameSiteの所有権

Chrome 51以降、CSRF攻撃やユーザー追跡(悪意ある第三者によるクッキー取得)を防ぎ、サードパーティクッキーを制限することでセキュリティリスクを軽減するために、ブラウザのクッキーに新しいSameSite属性が追加されました。

SameSiteはRFC6265bisで定義されています:ハイパーリンクのログインが見えます。

CSRF攻撃概要:

ASP.NET CSRF 攻撃 Ajax 要求カプセル化
https://www.itsvse.com/thread-8077-1-1.html

CSRF攻撃を防ぐためにAntiForgeryTokenを用いたmvc ajax
https://www.itsvse.com/thread-4207-1-1.html

QQクイックログインプロトコルを分析し、「CSRF」を実装する
https://www.itsvse.com/thread-3571-1-1.html

SameSiteプロパティは以下の3つの値を設定できます:厳格、緩やか、なし。

厳しい:第三者によるクッキーの取得を厳しく禁止し、クロスサイト間ではいかなる状況でもクッキーを送信しません。クッキーは、現在のページのURLがリクエスト対象と一致している場合にのみ含まれます。このルールは厳しすぎて、ユーザー体験が非常に悪くなる可能性があります。例えば、現在のウェブページにGitHubリンクがある場合、ユーザーはジャンプをクリックしたときにGitHubクッキーを持たず、ジャンプは常に未ログインのままです。

ログインが見えます。

跅: クロスサイトを禁止します。ほとんどの場合、クッキーの取得は禁止されていますが、目的地URLに向かうGETリクエスト(リンク、プリロード、GETフォーム)を除きます。一度厳格か緩めが設定されると、CSRF攻撃はほぼ排除されます。もちろん、これはユーザーブラウザがSameSiteプロパティをサポートしていることを前提にしています。

SameSite属性デフォルト SameSite=lax[この操作は、Googleが2019年2月4日にChrome 80安定版をリリースした後のバージョンに適用されます]

ログインが見えます。

何一つ:限界はない。

Secure属性も設定しなければならず(クッキーはHTTPSプロトコル経由でしか送信できません)、そうでなければ有効とは言えません。 [この操作は、Googleが2019年2月4日にChrome 80安定版をリリースした後のバージョンに適用されます]

ログインが見えます。

SameSiteの物件をテスト

F12コンソールを通じてサイトAの画像を動的に読み込みます。コードは以下の通りです:

ログインが見えます。

ネットワークリクエストから、サイトAがサイトAのドメイン名画像を要求すると、クッキーを持ち歩く(SameSiteには設定がなく、つまりLaxがありません)、下の画像に示されています:

ランダムにBサイトを見つけ、その画像を動的に読み込んで見つけますキャリーはしていません以下に示すような任意のクッキー:

(終わり)

トビウオ · 2022年4月17日 21:20:07 に投稿

学ぶことを...

クッキーのSameSiteプロパティに対するCSRF攻撃を防ぐ

関連記事

閲覧したセクション