CSRF対策のトークンを生クッキーに保存するフレームワークについて

Question

FuelPHPは、表題のようにCSRF対策用トークンを生のクッキーに保存しています。すなわち、セッション変数にトークンを保存するのではなく、トークン保存用のクッキーがあり、その値にトークンの生の値が入っています。

参考: FuelPHPのCSRF対策トークンは何が問題だったのか - Togetterまとめ

そのようなアプリケーションフレームワークは、FuelPHP以外にもあるでしょうか? もしあるなら教えてください。PHP以外のフレームワークでも結構です。

Answer 1

既に解決されていますが、補足を。

FuelPHP以外のメジャーなところでは、DjangoやCodeIgniterが採用しています。

このような方式をDouble Submit Cookieというのですが、単純なDouble Submit Cookieでは脆弱性になることが知られています。

問題：CSRFの防止策に関するチートシートにツッコミを入れる | 徳丸浩の日記
解答：CSRFの防止策に関するチートシートにツッコミを入れる | 徳丸浩の日記

この問題を攻撃するにはCookieを書き換えないといけませんが、その方法の一つに通信経路上の攻撃（中間者攻撃）があります。下記の動画で説明しています。

常時SSLでもCookieの改ざんはできるワケ - YouTube

Comments

[Zuishin]

フィッシング詐欺にお気をつけください。
大物が釣れて喜んでいると思います。

https://teratail.com/questions/99549

質問者はランキング上位の m.ts10806 さんではなく、その偽物です。

[ockeghem]

ありがとうございます。後で気がつきましたが、この回答を読む方のために有益であればそれでよいと思いました。

Answer 2

そのようなアプリケーションフレームワークは、FuelPHP以外にもあるでしょうか? もしあるなら教えてください。PHP以外のフレームワークでも結構です。

ASP.NET Web アプリでも CSRF 用のトークンをクッキーに入れてやり取りします。

・・・が、それだけでは不十分なので、隠しフィールドに別のトークン（Cookie のものとは少々異なる）を入れて、ユーザーが POST すると送られてくる 2 つのトークンの比較チェックに合格した場合にのみ、要求の続行を許可するようになっています。

詳しくは以下のドキュメントの「効果のない軽減策」と「Web Stack ランタイム XSRF の軽減策」のセクションを見てください。

ASP.NET MVC と Web ページの XSRF/CSRF 防止
https://docs.microsoft.com/ja-jp/aspnet/mvc/overview/security/xsrfcsrf-prevention-in-aspnet-mvc-and-web-pages