CSRF対策としてリファラーを見るだけでは不十分な場面ってあるのでしょうか？

Question

RailsでWebアプリを開発中なのですが、
諸事情により一部ページのみRailsデフォルトのCSRF対策を切らなければならなくなりました。

代替策としてそのページにアクセスされた際は
リファラー内のドメインをチェックする感じにしようと思ってるのですが、

リファラーチェックのみではCSRF対策として不十分な場面って存在するのでしょうか？

Answer 1

そもそもリファラーはブラウザから簡単に改ざんできるので簡単に突破されてしまいますよ。

なんらかのIDを発行し、先行画面でDB保存。
後続画面に HIDDEN ＆ POST 送信、または ドメイン名を絞った Cookie などで渡し、
さらに後続画面でリファラーと組み合わせてチェックする。などの対策は必要かと。

IDも、連番とか推測可能な値は絶対に NG ですね。

少しでも手を抜くと、のちに ひどい目にあいますからご注意を...

Comments

[otn]

> そもそもリファラーはブラウザから簡単に改ざんできるので簡単に突破されてしまいますよ。
CSRF対策なので、これは関係ないのでは？改竄できるのはあくまでリクエストを投げる人であって、CSRF攻撃を仕掛ける人では無い。

[kurosawa]

仕掛ける側が、自サイトに飛ばして JavaScript や Flashでリファラを書き換え送信したら、リクエストの強要ができてしまいます（＝攻撃者がリクエストを投げる人になる）

あくまでもリファラだけのチェックでは足りない。ということが言いたいことです

[kurosawa]

この方は過去の質問を見ると回答しても返答しない方なんですね。
せめてクローズして欲しいです。残念です

[kurosawa]

クローズいただきました。上記は撤回します。
失礼いたしました。