① 物語性を取り入れた説明
ユキは授業で「クロスサイトリクエストフォージェリ（CSRF）」という言葉を耳にしましたが、どのような攻撃かよくわかりませんでした。授業後、ユキは先生に質問しました。
「先生、クロスサイトリクエストフォージェリって何ですか？」
先生は少し考えながら答えました。「いい質問だね、ユキ。まず、フォージェリ（Forgery）というのは、英語で『偽造』や『なりすまし』という意味なんだ。だから、クロスサイトリクエストフォージェリは、他のサイトを経由して、ユーザーになりすましてリクエストを送る攻撃なんだよ。」
「なるほど！たとえば、私がネットショッピングのサイトにログインしているときに、悪い人が私の代わりに注文を勝手にするようなことですか？」ユキはさらに質問しました。
「その通り！たとえば、悪意のあるリンクをクリックすると、君の代わりに攻撃者が勝手に注文したり、情報を変更したりすることができるんだ。これは君がログインしているときに、ブラウザが自動的にログイン情報を送信する仕組みを悪用しているんだよ。」
「そんなことができるんですね…じゃあどうやってそれを防げばいいんですか？」
「いい質問だね。CSRFトークンという仕組みがあるんだ。これは、リクエストが本当に君自身から送られているかどうかを確認するための仕組みだよ。トークンが正しければ、そのリクエストを受け入れて、そうでなければ不正なリクエストをブロックできるんだ。」
「なるほど！でも普段ネットを使っているとき、もっと簡単にできる対策ってありますか？」とユキは気になりました。
「もちろんだよ。普段使っているセキュリティソフトをしっかりと更新しておくのが大切だよ。たとえば、NortonやKaspersky、Trend Microなどのセキュリティソフトは、ブラウザ保護機能が付いているから、怪しいリンクをブロックしてくれるんだ。そういうツールを使って、常に注意しておくことも大切だね。」
「ありがとうございます、先生。セキュリティソフトもしっかり使って、気を付けたいと思います！」とユキは理解を深めました。
クロスサイトリクエストフォージェリの定義
② 実際の事例
クロスサイトリクエストフォージェリは、特に金融機関やオンラインショッピングサイトなど、ログインして取引や操作を行うシステムで危険視されています。たとえば、大手の銀行やショッピングサイトでは、顧客がログインした状態で不正なリンクをクリックすると、攻撃者がその人に代わって送金や購入を行う可能性があります。
実際に、ある自治体では、住民の個人情報を管理するシステムでCSRF攻撃が問題となったことがあります。住民がログインして申請フォームにアクセスした状態で、攻撃者が送り込んだ不正なリンクをクリックすると、その住民の代わりに攻撃者がデータを変更するリクエストを送信できてしまいました。幸い、CSRFトークンが導入されていたため、攻撃は未遂に終わりましたが、この事例はCSRF対策の重要性を示しています。
また、ある企業では、社内システムでCSRF対策を怠っていたため、従業員が不正なリンクをクリックした際に、自分のアカウントで意図しない操作が行われてしまいました。このような攻撃は、従業員が意図せずに機密情報を漏洩したり、システムに重大な変更を加える原因となるため、重大なリスクとなります。
これらの事例では、企業や自治体がCSRF対策としてCSRFトークンやリクエストの検証を導入することで、リスクを軽減することができました。特に、重要な操作を伴うシステムでは、常にCSRFのリスクを念頭に置き、適切な対策を講じる必要があります。
③ クイズや小テスト
クイズ1 クロスサイトリクエストフォージェリはどのような攻撃ですか？
A. 悪意のあるコードを注入してデータを盗む攻撃
B. ユーザーに代わって不正なリクエストを送る攻撃
C. ウェブサーバーをダウンさせる攻撃
クイズ2 クロスサイトリクエストフォージェリを防ぐために効果的な対策はどれですか？
A. パスワードの強化
B. CSRFトークンの使用
C. ウェブページのデザインを変更する
クイズ3 次のうち、CSRF攻撃が起こる可能性が高いのはどのようなシステムですか？
A. ログインしているユーザーがデータを操作するシステム
B. 静的なウェブページ
C. 画像のみを表示するウェブページ
回答
- 正解：B
- 正解：B
- 正解：A
応用情報技術者試験
応用情報技術者過去問題 平成23年秋期 午後問9(情報セキュリティ)｜応用情報技術者試験.com (ap-siken.com)
コメント