GETフォームならCSRF対策は必要ない？

Question

CSRFはPOST送信を勝手にされてしまう攻撃と聞きました。ならばGETを行うフォームであればCSRF対策は必要ないと思うのですが、合っていますか？
わたしが作ろうとしているサイトは、ユーザー登録もなくDBもなく、設置されているフォームはGETでデータを取得してくるのみです。ただし静的なサイトではなく動的にページを生成します。このケースならCSRF対策を行うライブラリは必要なさそうと思いましたが、念の為お聞きしておきたいと思いました。

Answer 1

ならばGETを行うフォームであればCSRF対策は必要ないと思うのですが、合っていますか？

本質の問題はGETかPOSTかではなく、意図しないリクエストで何を実現できるかどうかの問題になります。

本来、GETは冪等であるべき（何回アクセスしても「同じ」結果を返すべき）ものなので、そう設計していれば攻撃者が意図しないリクエストへ仕向けたところで、サーバに（アクセスログ以外の）状態変化を残すことはできません。

今回の場合も、「GETでデータを取得してくるのみ」である以上、CSRFと同様な仕組みでページを表示させること自体は可能ですが、ただページが表示されるだけなので、有意な攻撃とは通常なりません。

Comments

[maisumakun]

もちろん、特定のURLへアクセスすると負荷がかかる場合、アクセスを増加させてDoS攻撃を起こすことも可能かもしれませんが、それはまた別問題です。

[search_search]

ありがとうございました。GETフォームでも対策しておくほうがよさそうですね。