CSRFのワンタイムトークンの有効性について

Question

CSRFのワンタイムトークンって意味があるのでしょうか？
ajaxで攻撃先のhtmlを取得してトークンを取り出しpostすれば攻撃が成立してしまいませんか？

Answer 1

php等で攻撃先サイトのhtmlを取得するプログラムを攻撃用サイトと同じドメインに置けばajaxでトークンを取得できませんか？

はい，出来ます．PHP使えるくせにサブドメイン割り振らずにパスだけ割り振ってるホスティングサイトありましたよね．パスワード流出とかで大問題になってた国内の某企業．www1 www2などアカウント取得時期によってサブドメインは別のものになっていましたが，同一サブドメインの中ではいとも簡単にCSRFが成立するでしょう．**「セッション用CookieのPath属性指定すればいいんじゃないの？」**と思うかもしれませんが，この指定にはセキュリティ的な意味は無いことが知られています．

• 共用SSLサーバの危険性が理解されていない

なので，そもそも**「サブドメインを個人に割り振っていないホスティングサイトにセキュリティを求めてはいけない」**というところに帰着します．

ちなみにワンタイムにする意味はあまりありません．ワンタイムトークンは多重送信を防ぐ役割を併せ持ちますが，汎用性・利便性を考えると固定トークンのほうが望ましいケースが多いです．例えばPHPならこんな感じの実装があるんじゃないでしょうか．

class CsrfValidator {
    
    const SALT_ENV_NAME = 'TOKEN_SALT';
    const HASH_ALGO = 'sha256';
        
    public static function generate()
    {
        if (session_status() === PHP_SESSION_NONE) {
            throw new \BadMethodCallException('Session is not active.');
        }
        $salt = getenv(self::SALT_ENV_NAME);
        if ($salt === false) {
            throw new \BadMethodCallException('Environment variable ' . self::SALT_ENV_NAME . ' is not set.');
        }
        return hash(self::HASH_ALGO, session_id() . $salt);
    }

    public static function validate($token, $throw = false)
    {
        $success = self::generate() === $token;
        if (!$success && $throw) {
            throw new \RuntimeException('CSRF validation failed.', 400);
        }
        return $success;
    }

}

• とっても簡単なCSRF対策

Comments

[退会済みユーザー]

やはりCSRF対策としてワンタイムトークンを使用せず、固定トークンを割り当てるべきなのですね。
わかりやすい回答ありがとうございます。

Answer 2

それができないよう、Ajaxでは同オリジンルールといって他サイトからデータを取得できないようになっています。

Comments

[退会済みユーザー]

php等で攻撃先サイトのhtmlを取得するプログラムを攻撃用サイトと同じドメインに置けばajaxでトークンを取得できませんか？

[yuba]

「誰の」トークンを取得するのかって話です。
誰かに、その人の意図しないsubmitをさせるのがCSRF攻撃ですよね。意図しない送金をさせたり、意図しない脅迫文書を投稿させたり。
ということは、その誰かのブラウザに送られたトークンを取得しないと攻撃できません。
PHPプログラムなりで対象サイトにアクセスしたところで、得られるトークンは「その誰か」向けのトークンではなく、あなた向けのトークンです。これを使ってなにかsubmitしたところで、あなた名義でsubmitされるだけです。