シングルサインオン認証はCSRFセーフなの？

Question

**「あるドメイン上でログインしただけで別のドメイン上でもログインしたことになる」**という，シングルサインオン認証について調べています．

• iframeを使ってクロスドメインでCookieを書き込む[iframe][sso]

ここにGoogleが実際にそれで実現しているという言及があるのですが，当該ソースを閲覧してみたり，下に書いてある解説を読んでもなぜこれでシングルサインオンが成立するのかさっぱり分かりませんでした．

• 単純に子フレーム内でログインさせる方法を考えると，親フレームのフォームから子フレームに対してIDとパスワードをPOSTする方法が考えられると思うのですが，CSRFトークンはクロスドメインで取得できないため，CSRF対策されている場合にこの方法が成立しないように思えてしまうのです．
• 別ドメイン側で「GETパラメータで指定されたセッションIDをセットする」スクリプトを用意してもいいのですが，これもまたCSRF対策と相反している感じがします．

Googleはどうやって実現しているのでしょうか？

Answer 1

考え方を変えれば…サイトAにログインした際に、（本人の意図にかかわらず）サイトBにもログインさせるということ自体、技術的にはCSRFそのものであると言えるかもしれません。

Googleの場合、内部ではもちろんつながっているわけですから、充分な長さのワンタイムトークンを生成・保存しておいて、そのトークンを用いてCookieのセットが完了したタイミング、もしくは少しのタイムアウトで消えるようにしておけば、GETで送っても不正利用ということは困難でしょう。

Comments

[mpyw]

非常に参考になる回答有り難うございます．ワンタイムトークンはユーザのセッションに属するものではなく，ユーザを問わず誰でも共通に参照できるもの，ということですね．

[maisumakun]

先ほど気になってGoogleログイン時の流れを追いかけていたのですが（最後までは追いきれませんでしたが）、youtube.comから発行されたJavaScriptに「postMessage」というのも見えたので、対応したブラウザではiframeとの間をpostMessageでつなぐ、ということもしているのかもしれません。

[mpyw]

こういう意見も得ていました

https://twitter.com/gaogao_9/status/717223960979615744
https://twitter.com/gaogao_9/status/717224601885880321
https://twitter.com/gaogao_9/status/717230636767924224

[mpyw]

興味深そうな情報

http://d.hatena.ne.jp/ritou/20131015/1381796302

[mpyw]

実装してみました

http://qiita.com/mpyw/items/904d0692b4594265dbd4

Answer 2

P3P使えば出来るよ・・・。
やり方載ってるサイトもあるよ・・・。
参考にしてみてね・・・。

http://d.hatena.ne.jp/R-H/20111101
https://en.wikipedia.org/wiki/P3P

Comments

[mpyw]

P3PはIE10以下にしか影響しません．既に廃止されたと言えるもので，情報が古いです．