CSRF対策のやり方、そろそろアップデートしませんか / Update your knowledge of CSRF protection

PHPerKaigi 2024 • Day 1での登壇資料です。 https://phperkaigi.jp/2024/ https://fortee.jp/phperkaigi-2024/proposal/0d0f8507-0a53-46f6-bca6-23386d78f17f ※ Authorizationヘッダーを利用したBearerトークン等の活用については言及していません。

[secseek]

トークンって原始的でなんだかなあ、と思っていましたがOriginヘッダーなんてシンプルなやり方があったんですね。ただ、結局はフレームワークを使うから、フレームワークがトークンって言ったらトークンなんですけど

[cpw]

HTTPヘッダーにBarerトークンを仕込む方法でリクエストするようにすればそもそろCSRFの脆弱性は起きないのでは？

[umai_bow]

そもそもフォームからのPOSTを使う気がないなら、任意の独自ヘッダチェックだけでいける

[headacher2]

originって偽装できなかったっけ？と思ったけど過去のブラウザの脆弱性だったぽい

[circled]

理論としてのCSRF対策と、それを基にした各フレームワーク側の対策実装の説明と言った感じで、実運用的にはフレームワークに準じとけと言う話よね

[unmarshal]

セッションIDが古いブラウザ等のリクエストで利用されるリスクを回避したいならcookieでなくIDトークン等を使った方が良い気が。ステートフルなリクエスト前提のCSRFとその対策を"アップデート"した方が良いと思った

[syu-m-5151]

俺はアップデートしたいがフレームワーク次第としか答えられない...。

[love0hate]

Origin はホスト名を設定経由などで知っている必要があるが、 Sec-Fetch は知らなくても良いので使えるならよりシンプルになる

[strawberryhunter]

トークンは8年前まで使ってた。懐かしさすら感じる。JWTなんてものがあるのか → Authorization: Bearerに仕込むのか面倒だ → でもCSRFトークン不要やんけ、ということでトークンで対策しなくなった。

[NOV1975]

しーさーふって読み方あるのか。日本らしくクロリフォにしようぜ！／リダイレクトフローでアプリ連携するところを少しバックエンド側で制御しようとしたらこの対策のせいでうまく行かないとかあるのなんとかしたい

[atico]

トークン方式で問題なのは、ページのキャッシュが出来ないというところなので、originヘッダーのチェックだけで済むなら、トップページにいきなりformを置くことも可能なのか。

[estragon]

言いたいことは、フレームワークが提供してる機能を適切に使え、と。これはホントそう思うけど、アプリとアプリ基盤が分かれてるような体制でないとなかなか手が回らない現場もありそうね

[tohokuaiki]

古のPHP4の頃に手で実装してて死んだのでフレームワーク最高とか思ってます。

[taguch1]

アップデートされてた。

[dorapon2000]

なんとなくの理解だったSameSiteについて調べるきっかけになった。

[yamadar]

最後の「エンジニアとしての心がけ」が好き

[bzb05445]

こんにちは。こんにちは。

[daishi_n]

これなら昔のASP.NETでも実装は楽だな。

[akulog]

なるほどなぁ

[shingo-sasaki-0529]

やっぱフレームワークの機能を惰性で使ってはいるけど、現代では CSRF って大した脅威ではなくなってきてるよなぁ。よっぽどじゃなければクロスオリジンのCookie許可しないし。(レガシーブラウザは知らない)

[kiririmode]

SameSiteの明示指定+HSTS、Originヘッダのチェック（、Sec-Fetch-*のチェック）でいけそう

[sora_h]

そうなんだよね

[sho]

せやな。新規に開発するならこれで十分

[uunfo]

sea-surf と言う読み方は知らなかった

[akymrk]

"SvelteKitの例""最初はトークン方式（いろいろ）が提案されるが、Originヘッダーの利用で十分では？と結論""古いブラウザにも対応できる""Originヘッダーなしの場合、不正とみなす""最近採用さ\nれることが増えている"

[NetPenguin]

最近はOriginヘッダ＋X-Requested-With（カスタムヘッダ）でやってる。

[Shinwiki]

プラス、トークンなのよね

[peketamin]

Originヘッダーチェックいいな

[kazuph1986]

そうそう、これ知りたかった。最近のフレームワークはどうやってるのかと思っていたので（自分で調べろという話）