JWTなどのTokenをlocalstrage(HTML5の)に保管することについて

Question

正直、結論の出づらい内容ですが質問させていただきます。

Tokenの保管方法として、

• cookie
• localstrage

が挙げられますが、localstrageがだめだと言っている情報がかなり多いです。

自分はJWTを保管しようかと考えています。

localstrageはCSRFに対して脆弱性がない反面、XSSに弱いということだそうです。

しかし、Reactなどのきちんとメンテナンスされているライブラリの場合、XSSに対する脆弱性がないようなものだと思います。きちんとスクリプトをエスケープするはずですし。

入力値をそのまま反映させるdangerous~HTMLを使うなどしなければ、localstrageが優秀に感じますがどうなのでしょうか？

cookieだと、CSRFに対して弱いということが心配なので、localstrageをメンテンナンスサれているJSライブラリで用いて良いでしょうか？

Answer 1

リクエストを頂きましたので出てまいりました。

しかし、Reactなどのきちんとメンテナンスされているライブラリの場合、XSSに対する脆弱性がないようなものだと思います。きちんとスクリプトをエスケープするはずですし。

それは甘いです。「React XSS」で検索するだけでも、Reactを使ったアプリケーションのXSSパターンは数多くの記事がヒットしますし、現実の脅威があります。

入力値をそのまま反映させるdangerous.を使うなどしなければ、localstrageが優秀に感じますがどうなのでしょうか？

XSSとCSRFを比較すると、XSSの根絶が非常に難しいのに対して、CSRFの対策は非常に容易です。なので、XSSの脅威を重要視すべきです。それに、脆弱性の影響は XSS > CSRF であり、XSS脆弱性があればCSRF相当の攻撃（影響）は可能です。

cookieだと、CSRFに対して弱いということが心配なので、localstrageをメンテンナンスサれているJSライブラリで用いて良いでしょうか？

「cookieだと、CSRFに対して弱い」というよりも、「localStorageだとCSRFは発生する余地がない」というべきですね（localStorageのつづりが全て間違っていますが大丈夫ですか?）。CSRFは、それこそフレームワークで容易に対策できるので、前述のようにXSSの方を警戒すべきです。

ただし、te2jiさんが指摘されているように、結局のところXSSがあれば、CookieもlocalStorageも大差ないということと、CORSの設定不備（最近よく見かけます）の影響が大きいのはCookieの方なので、最近はlocalStorageでよいのではないかと思い始めています。

Comments

[退会済みユーザー]

お付き合いいただき感謝です。

CORS をどう評価するのかが非常に興味深い点でした。
ockeghem さん的には CORS の設定不備をよく見かけるので、その影響度合いの少ない localStorage の評価が【相対的に】上がってきたってことですね。
確かに、CORS が「制限を緩める技術」って理解しないまま使用しているケースは多いように思います。

ありがとうございました。

[prof]

「React XSS」で検索すると、多くの情報が出てきました。
教えていただきありがとうございます。

CSRFの具体的なやり方を知らず、勝手な考えをしていたので、きちんと調べてみます。

[ockeghem]

te2jiさん、コメントありがとうございます。うまく整理していただきましたが、CORSを緩める方法が普及してしまったどころか、一部のフレームワークは「デフォルトでCORSがガバガバになる」ことを見つけまして、「これはCookieだとかえって危ないな」というのが最近の心境です。

[退会済みユーザー]

> ockeghem さん
cookie の評価がダダ下がって、localStorag に追い抜いかれた状態ってことですね。
認識をアップデートします。
回答をねだったよかったですｗ

Answer 2

localstrageがだめだと言っている情報がかなり多いです。

情報元を提示してください。
文脈を確認したいです。

XSS が可能であれば、一般的にどちらに保存しようと脆弱です。

Comments

[prof]

https://techracho.bpsinc.jp/hachi8833/2019_10_09/80851
https://teratail.com/questions/84388
この記事を読んだときの印象が強かったためか、新しい情報は多くなかったです、申し訳ありません。他のサイトは、情報が5年ほど前だったりと古かったので、無視することにしました。

回答者様の通り、XSSが可能であれば、CookieもLocalstrageも脆弱性があるのは当然です。

一応、セキュリティの観点ではないlocalstrageの欠点として、一部のブラウザで対応していないということが確認できました。
>IE系で使えないバージョンがある
>iOSのプライベートブラウジングで使えない
https://christina04.hatenablog.com/entry/2016/06/07/123000

https://www.reddit.com/r/Angular2/comments/cubdwa/storing_authentication_tokens_local_storage_or/
この内容からも、正直どっちでもいいと言うことがわかり、localstrageについてはXSSに対して対策すれば問題がなく、ブラウザ次第ということがわかりました。

それらの攻撃手法を具体的に試したこともないので、詳細を調べて知見を深めようと思います。

[退会済みユーザー]

引用元等は質問に追記しておいてもらえますか？
質問は見ても、回答についたコメントは見ない人が一定数います。

[退会済みユーザー]

あ、あんまり早く質問をクローズしないでください。
多分、識者がウォーミングアップしてますｗ

[ockeghem]

ウォーミングアップ…というか、答えようか、どうしようかとは悩んでいましたw

[退会済みユーザー]

ぜひお願いします。
私が見たいです！