クッキーのCSRF攻撃を防ぐSameSite属性

ジャークスゲート · 2022-4-17 20:24:47

SameSiteプロパティ

Chrome 51 から、CSRF 攻撃とユーザ追跡（第三者による悪意のあるクッキー取得）を防止し、サードパーティのクッキーを制限してセキュリティリスクを低減するために、ブラウザのクッキーに新しい SameSite 属性が追加されました。

RFC6265bis で定義されている SameSite: https://datatracker.ietf.org/doc/html/draft-ietf-httpbis-cookie-same-site-00

CSRF 攻撃についてのレビュー：

ASP.NET CSRF 攻撃 Ajax リクエストのカプセル化
https://www.itsvse.com/thread-8077-1-1.html

CSRF 攻撃を防ぐための AntiForgeryToken を使用した mvc ajax。
https://www.itsvse.com/thread-4207-1-1.html

QQ Quick Loginプロトコルを分析し、「CSRF」を実装する。
https://www.itsvse.com/thread-3571-1-1.html

SameSiteプロパティには、Strict、Lax、Noneの3つの値を設定できます。

Strict: Strict は、第三者がクッキーを取得することを完全に禁止します。クロスサイトでは、クッキーはどのような状況でも送信されません。現在のウェブページの URL がリクエストのターゲットと同じ場合のみ、クッキーがもたらされます。例えば、現在のウェブページにGitHubのリンクがある場合、ユーザーはそれをクリックし、GitHub Cookieなしでそこにジャンプします。

ログインは見える。

Lax: クロスサイトを防ぎ、GETリクエスト（リンク、プリロード、GETフォーム）のターゲットURLへのナビゲーションがない限り、クッキーの取得を禁止するケースがほとんどです。StrictまたはLaxを設定すると、基本的にCSRF攻撃がなくなります。もちろん、これはユーザのブラウザが SameSite 属性をサポートしていることを前提としています。

SameSite属性のデフォルトSameSite=Lax [この操作は、Googleが2019年2月4日にChrome 80安定版をリリースした後のバージョンに適用されます]。

ログインすると表示されます。

ログイン/登録して大きな画像を見る

なし：制限なし。

Secure属性（クッキーはHTTPSプロトコル経由でのみ送信可能）も設定する必要があります。 [このアクションは、2019年2月4日にGoogleがChrome 80安定版をリリースした以降のバージョンに適用されます]。

サインインすると表示されます。

SameSiteプロパティのテスト

サイトAのF12コンソールを介して、サイトAから画像を動的にロードします：

ログイン時に見える。

以下の図に示すように、サイト A のドメイン名の画像を要求するとき、サイト A がクッキー(SameSite には設定がない、つまり Lax)を運ぶことが、ネットワーク要求を通してわかる：

ログイン/登録して大きな画像を見る

ランダムなサイトBを見つけ、サイトAの画像を動的に読み込むと、下図のようにクッキーを持たないことがわかりました：

ログイン/登録して大きな画像を見る

(終了)

トビウオ · 投稿日時：2022-4-17 21:20:07

|にできるようにあなたがそれをすることができます本当に出くわすことあなたは、実際には私たち約束、誰でも素早くはちょうど無視これらの一見正確にどのように{}人のことを忘れることができます。

ユーザー名		自動ログイン	パスワード取得
パスワード検索			会員登録

クッキーのCSRF攻撃を防ぐSameSite属性

関連記事

閲覧セクション