CSRF (Cross-Site Request Forgery) を勝手に防止してくださいます。

CSRF とは簡単に言うと、ある特定のURLがDBに挿入したり更新したりすると仮定します。そして、そのURLにアクセスしまくってDBの値を変えまくることです（だと思う・・・）。

script/generate scaffold した時点で、もう既に対応済みになっていて何もすることはありませんでした。

じゃあ、どこで設定されているか、というと、app/controllers/application.rb をご覧ください。

  protect_from_forgery # :secret => '6d0b20bbf9203508337aff3214f79efb7a0'

protect_from_forgery と書くだけです。終わり。

そうすると、POST・DELETE・PUTの時（つまりGETじゃあないとき）に、Rails が、authenticity_tokenという hidden パラメータのようなものを付け加えてくれてこれでチェックされます。

Rails がチェックした時に、不正なアクセスだったら、ActionController::InvalidAuthenticityTokenという例外が発生します。

とここまでが概要です。いかがでしたでしょうか。以下の行からは、もうちょっと掘り下げて書いてみようかなと思います。といっても期待はしないでねと。


さてさて、上記の protect_from_forgery の箇所で、:secret から後ろがコメントアウトされていました。

クッキーセッション（Rails2.0.2ではデフォルトざます）を使っている時は、このコメントを外さないでください。

DBセッションやメモリセッションを使っている時は、このコメントを外してください。というか、:secret の値を書き換えて、さらにその値が外部のスパイにばれないようにしてください。

じゃあなんでコメントアウト外したり外さなかったりなの？とか、そもそもCSRF防止になるの？とかは、以下に更に掘り下げて書いてみたいと思いますが、超長くなるので、はっきり言って飽きるかもです。


１．デフォルトであるクッキーセッションを使っている場合

CSRF されているかどうかは、

クライアントの session[:csrf_id] から生成されたチェックサム
と
クライアントから送られてきた authenticity_token

が同じかどうかで判断します。

actionpack-2.0.2/lib/action_controller/request_forgery_protection.rb

      def verified_request?
        !protect_against_forgery? ||
          request.method == :get ||
          !verifiable_request_format? ||
          form_authenticity_token == params[request_forgery_protection_token]
      end
・
・
・
      def form_authenticity_token
        @form_authenticity_token ||= if request_forgery_protection_options[:secret]
          authenticity_token_from_session_id
        elsif session.respond_to?(:dbman) && session.dbman.respond_to?(:generate_digest)
          authenticity_token_from_cookie_session
        elsif session.nil?
          raise InvalidAuthenticityToken, "Request Forgery Protection requires a valid session. Use #allow_forgery_protection to disable it, or use a valid session."
        else
          raise InvalidAuthenticityToken, "No :secret given to the #protect_from_forgery call. Set that or use a session store capable of generating its own keys (Cookie Session Store)."
        end
      end
・
・
・
      def authenticity_token_from_cookie_session
        session[:csrf_id] ||= CGI::Session.generate_unique_id
        session.dbman.generate_digest(session[:csrf_id])
      end

ちなみに、authenticity_token を作るときには、上記の form_authenticity_token を呼びます。

つまり、自前で authenticity_token=<%= form_authenticity_token %> 的なことができます。

なので、結局の所、クライアントの session[:csrf_id] から param[:authenticity_token] と同じ値を作ることができるかどうかを見ていると言っていいでしょう。

じゃあ、改ざんは？できるんじゃあないの？と思いますが、まず、session[:csrf_id] を改ざんしたいといった場合は、セッションのチェックサムも対応する値に変えなくてはいけません。

どういうことかというと、クッキーセッションの場合はブラウザのクッキーに

セッションの値--セッションの値から生成したチェックサム

という長ーい文字列が設定されています。

session/cookie_store.rb

  def close
    if defined?(@data) && [email protected]?
      updated = marshal(@data)
      raise CookieOverflow if updated.size > MAX
      write_cookie('value' => updated) unless updated == @original
    end
  end
・
・
・
  def generate_digest(data)
    key = @secret.respond_to?(:call) ? @secret.call(@session) : @secret
    OpenSSL::HMAC.hexdigest(OpenSSL::Digest::Digest.new(@digest), key, data)
  end
・
・
・
    def marshal(session)
      data = Base64.encode64(Marshal.dump(session)).chop
      CGI.escape "#{data}--#{generate_digest(data)}"
    end

この「セッションの値」を変える（session[:csrf_id]の値をいじくる）ということは、「セッションの値から生成したチェックサム」も併せて変えなければ Rails が有効なクッキーとして扱ってくれません。

session/cookie_store.rb

  def restore
    @original = read_cookie
    @data = unmarshal(@original) || {}
  end
・
・
・
    def unmarshal(cookie)
      if cookie
        data, digest = CGI.unescape(cookie).split('--')
        unless digest == generate_digest(data)
          delete
          raise TamperedWithCookie
        end
        Marshal.load(Base64.decode64(data))
      end
    end

でもこのチェックサム、サーバ側に書いてある文字列がないと生成できないようになっています。

なので、勝手にセッションの値は書き換えられません。

サーバ側に書いてある文字列っていうのが以下 :secret の値です。

config/environment.rb

config.action_controller.session = {
    :session_key => '_scaf2_session',
    :secret => 'c0b6ae4957515a57bb58d880150ecdd71faa8990ff0d7ff35635cd55'
}

じゃあ、authenticity_token は改ざんできるか、ということですが、これは、もともと session[:csrf_id] から作られたものですから、session[:csrf_id] の値を何に変えたらいいのか分かりませんし、「セッションの値から生成したチェックサム」の値も変えなくてはいけませんから、それはできない、ということで無理なのでした。


ここまで、すごく長いなあ。誰もこのエントリ読まなさそうだなあorz


２．デフォルトであるクッキーセッションを使っていない場合

CSRF されているかどうかは、

クライアントのセッションIDとprotect_from_forgeryのオプション値:secretとのチェックサム
と
クライアントから送られてきた authenticity_token

が同じかどうかで判断します。

actionpack-2.0.2/lib/action_controller/request_forgery_protection.rb

      def verified_request?
        !protect_against_forgery? ||
          request.method == :get ||
          !verifiable_request_format? ||
          form_authenticity_token == params[request_forgery_protection_token]
      end
・
・
・
      def form_authenticity_token
        @form_authenticity_token ||= if request_forgery_protection_options[:secret]
          authenticity_token_from_session_id
        elsif session.respond_to?(:dbman) && session.dbman.respond_to?(:generate_digest)
          authenticity_token_from_cookie_session
        elsif session.nil?
          raise InvalidAuthenticityToken, "Request Forgery Protection requires a valid session. Use #allow_forgery_protection to disable it, or use a valid session."
        else
          raise InvalidAuthenticityToken, "No :secret given to the #protect_from_forgery call. Set that or use a session store capable of generating its own keys (Cookie Session Store)."
        end
      end
・
・
・
      def authenticity_token_from_session_id
        key = if request_forgery_protection_options[:secret].respond_to?(:call)
          request_forgery_protection_options[:secret].call(@session)
        else
          request_forgery_protection_options[:secret]
        end
        digest = request_forgery_protection_options[:digest] ||= 'SHA1'
        OpenSSL::HMAC.hexdigest(OpenSSL::Digest::Digest.new(digest), key.to_s, session.session_id.to_s)
      end

基本的に、クライアントのクッキーにセッションIDが設定されていて、サーバ側にはセッションIDに紐付いたsession情報がファイルやDBやメモリに格納されています。

チェックサム(authenticity_token)は、protect_from_forgery のオプションに指定されている :secret の値と、ブラウザから渡されたセッションIDから上記の authenticity_token_from_session_id のように生成されます。

以下は、protect_from_forgery のオプションに:secretを指定している、の所です。

app/controllers/application.rb

  protect_from_forgery :secret => '6d0b20bbf9203508337aff3214f79efb7a0'

セッションIDが同じであれば、authenticity_token もずーっと一緒なのですね。

この場合の改ざんの心配なのですが、セッションIDを改ざんするとauthenticity_tokenも変えなきゃならないですが、:secretの値が分からないので無理ですね。

authenticity_tokenの値を改ざんすると、セッションIDも変えなきゃならなくて、:secretの値が分からないので無理ですね。



ということでした。いやぁ、書くの大変だったけどこの情報が役に立ったという人が世に１人出ればＯＫにしておきます。

【広告】

題名:

名前:

Mail:

Url:

Comment:


Pass:

Secret:
管理者にだけ表示