こめんと(2005-07-30)

こめんと(2005-07-30)

■ [Security] CSRF のセキュリティ脆弱性としての評価基準 CSRF について Web の過去の記述をいろいろ漁...概要を表示 ■ [Security] CSRF のセキュリティ脆弱性としての評価基準 CSRF について Web の過去の記述をいろいろ漁っていたのだが、 やっぱり tDiary のCSRFに対する脆弱さは2004年9月の段階で既に知られているのね。 っていうかまぁみんな気付くよね。対策されなかったのはやっぱり脆弱性の強度が理解されていなかったからか。 いしなおさんが 2.0.2 公開直後 に書いているが、 CSRFに対する脆弱性（フォームの送信元がどこであれ、送信先（action）とパ ラメータが正当ならばそのリクエストは正当と扱う、という標準的な仕様）は、 おそらくほとんどのWebアプリケーションが抱えていると思うんだけど、どの 辺から脆弱性扱いされる範囲になってくるのかな。 「少なくとも認証によって保護された機能については、CSRFによって呼び出しが可能であってはいけない」 ってあたりかな。 と

• セキュリティ