Sinatraã§CSRFã®ãƒã‚§ãƒƒã‚¯ - GIOã®æ—¥è¨˜
Sinatraã£ã¦ã„ã†ã‹Rackã®ãƒŸãƒ‰ãƒ«ã‚¦ã‚§ã‚¢ã§ã‚ã‚Šã¾ã—ãŸã€‚ sudo gem install rack_csrf# app.rb require 'rubygems' require 'sinatra' require 'rack/csrf' get '/' do @msg = 'Hello World' erb :index end post '/' do @msg = 'Hello CSRF' erb :index end configure do set :app_file, __FILE__ use Rack::Session::Cookie, :secret => 'change me' use Rack::Csrf, :raise => true end helpers do def csrf_token Rack::Csrf.csrf_token(env) end def
ãŠã•ã‹ãªãƒ©ãƒœ - クãƒã‚¹ã‚µã‚¤ãƒˆãƒªã‚¯ã‚¨ã‚¹ãƒˆãƒ•ã‚©ãƒ¼ã‚¸ã‚§ãƒªå¯¾ç–
éŽåŽ»ã®è°è«–ã¯ã“ã¡ã‚‰ 一般的ã«è¨€ã‚ã‚Œã¦ã„る対ç–ã¨å®Ÿéš›ã®æœ‰åŠ¹æ€§ã«ã¤ã„ã¦ã¯ã“ã¡ã‚‰ 一般ã«CSRFã¯ã‚»ãƒƒã‚·ãƒ§ãƒ³ã®åˆ©ç”¨ã«ä¼´ã†è„†å¼±æ€§ãªã®ã ã‹ã‚‰ã€äºˆæ¸¬ä¸èƒ½ãªæ–‡å—列を生æˆã—ã¦hiddenã¨ã‚»ãƒƒã‚·ãƒ§ãƒ³å†…(PHPセッションã®å ´åˆ$_SESSION内)ã«å…¥ã‚Œã¦ãŠãã€å®Œäº†ç”»é¢ã§ã“ã®2ã¤ã‚’照会ã™ã‚‹æ–¹æ³•ãŒç°¡ä¾¿ã§å …牢ã ã¨è€ƒãˆã‚‰ã‚Œã‚‹ã€‚(è¦ã¯ã‚»ãƒƒã‚·ãƒ§ãƒ³ã‚’使ã£ãŸãƒ¯ãƒ³ã‚¿ã‚¤ãƒ トークン方å¼)。 ã“ã®å¯¾ç–ã ã‘ã§ã‚‚充分ã ãŒã€hiddenを横å–ã‚Šã•ã‚ŒãŸå ´åˆã«ç™ºç”Ÿã™ã‚‹è„†å¼±æ€§ã«å‚™ãˆã€Cookieã§ã‚‚比較を行ã†ã€‚ 実際ã®ã‚³ãƒ¼ãƒ‰ // 確èªç”»é¢ session_start(); (èªè¨¼ãªã©ç•¥) $uniq_id = md5(uniqid(rand(),1)); // 推測ä¸å¯èƒ½ãªæ–‡å—åˆ—ã‚’ç”Ÿæˆ $_SESSION['uniq_id'] = $uniq_id; // セッションã«ä¿å˜ setcookie('uniq_id',
ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®çµ‚了日を2020å¹´1月31æ—¥(金)ã«æ±ºå®šã—ã¾ã—㟠- ã¯ã¦ãªã®å‘ŠçŸ¥
ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®çµ‚了日を2020å¹´1月31æ—¥(金)ã«æ±ºå®šã—ã¾ã—㟠以下ã®ã‚¨ãƒ³ãƒˆãƒªã®é€šã‚Šã€ä»Šå¹´æœ«ã‚’目処ã«ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—を終了予定ã§ã‚る旨をãŠçŸ¥ã‚‰ã›ã—ã¦ãŠã‚Šã¾ã—ãŸã€‚ 2019年末を目処ã«ã€ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®æ供を終了ã™ã‚‹äºˆå®šã§ã™ - ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—日記 ã“ã®ãŸã³ã€æ£å¼ã«çµ‚了日を決定ã„ãŸã—ã¾ã—ãŸã®ã§ã€ä»¥ä¸‹ã®é€šã‚Šã”確èªãã ã•ã„。 終了日: 2020å¹´1月31æ—¥(金) エクスãƒãƒ¼ãƒˆå¸Œæœ›ç”³è«‹æœŸé™:2020å¹´1月31æ—¥(金) 終了日以é™ã¯ã€ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®é–²è¦§ãŠã‚ˆã³æŠ•ç¨¿ã¯è¡Œãˆã¾ã›ã‚“。日記ã®ã‚¨ã‚¯ã‚¹ãƒãƒ¼ãƒˆãŒå¿…è¦ãªæ–¹ã¯ä»¥ä¸‹ã®è¨˜äº‹ã«ã—ãŸãŒã£ã¦æ‰‹ç¶šãã‚’ã—ã¦ãã ã•ã„。 ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã«æŠ•ç¨¿ã•ã‚ŒãŸæ—¥è¨˜ãƒ‡ãƒ¼ã‚¿ã®ã‚¨ã‚¯ã‚¹ãƒãƒ¼ãƒˆã«ã¤ã„㦠- ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—日記 ã”利用ã®ã¿ãªã•ã¾ã«ã¯ã”迷惑をãŠã‹ã‘ã„ãŸã—ã¾ã™ãŒã€ã©ã†ãžã‚ˆã‚ã—ããŠé¡˜ã„ã„ãŸã—ã¾ã™ã€‚ 2020-06-25 追記 ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—日記ã®ã‚¨ã‚¯ã‚¹ãƒãƒ¼ãƒˆãƒ‡ãƒ¼ã‚¿ã¯2020å¹´2月28
ãŠã•ã‹ãªãƒ©ãƒœ - CSRF対ç–法ã¨åŠ¹æžœ
自分ã§ã‚‚ã†ä¸€åº¦æ•´ç†ã™ã‚‹ãŸã‚ã«ã€ä»–ã®ã‚µã‚¤ãƒˆã«å€£ã£ã¦ç¾åœ¨æŒ™ã’られã¦ã„ã‚‹CSRF対ç–法ã¨ãã®åŠ¹æžœã‚’列挙ã—ã¦ã¿ã‚‹ã€‚ã–ã£ã¨æ›¸ã„ãŸã®ã§å¤šåˆ†ãƒ„ッコミã©ã“ã‚満載ã ã¨æ€ã†ãŒã¨ã‚Šã‚ãˆãšå…¬é–‹ã€‚ç¾åœ¨æ€ã„ã¤ã最善解ã¯ä¸€ç•ªä¸‹ã«æ›¸ã„ãŸã€‚ã‚ã¨ã¯é †ä¸åŒã€‚ POSTを用ã„ã‚‹ 推奨: ã¨ã‚Šã‚ãˆãš 効果: ã‚ã‚Š 回é¿æ³•: ã‚ã‚Š(Javascriptã«ã‚ˆã‚‹è‡ªå‹•Submitãªã©) 実装: 簡易 副作用: ãªã— 確ã‹ã«POSTã§ã®CSRFã‚’ç ´ã‚‹æ‰‹æ³•ã¯å˜åœ¨ã™ã‚‹ãŒã€ã ã‹ã‚‰ã¨ã„ã£ã¦ã“ã®å¯¾ç–ã«å…¨ã効果ãŒãªã„ã‚ã‘ã§ã¯ãªã„。完了画é¢ã¸ã®ç›´æŽ¥ãƒªãƒ³ã‚¯ã§ã®CSRFã®ç™ºç”Ÿã¯æŠ‘制ã§ãる。実装ãŒç°¡å˜ãªä¸Šã€å‰¯ä½œç”¨ãŒç‰¹ã«ãªã„ã®ã§å®Ÿè£…ã—ã¦ãŠã„ã¦åˆ¥ã«æã¯ãªã„。 リファラ(Referer: ヘッダ)ã‚’ãƒã‚§ãƒƒã‚¯ã™ã‚‹ 推奨: ケースãƒã‚¤ã‚±ãƒ¼ã‚¹ 効果: 大 回é¿æ³•: 特ã«ãªã— 実装: やや難(コードã«æ±Žç”¨æ€§ã‚’æŒãŸã›ã‚‹ã®ãŒé›£ã—ã„) 副作用: ブラウザ
@IT: 「ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“〠――知られã–ã‚‹CSRF攻撃
ã‚ã‚‹æ—¥ã€å¤§æ‰‹SNS（Social Networking Site）ã®mixiã®æ—¥è¨˜ã«ã“ã®ã‚ˆã†ãªæ›¸ãè¾¼ã¿ãŒã‚ã£ãŸã€‚ãれも1人ã ã‘ã§ãªãã€åŒæ—¥ã«æ•°å¤šãã®ãƒ¦ãƒ¼ã‚¶ãƒ¼ã®æ—¥è¨˜ã«åŒã˜æ–‡é¢ãŒæŽ²è¼‰ã•ã‚Œã¦ã„ãŸã€‚ ã“ã‚Œã¯ã€å˜ã«ã“ã®ã‚ˆã†ãªæ–‡ç« ãŒã¯ã‚„ã‚Šã€ãƒ¦ãƒ¼ã‚¶ãƒ¼è‡ªèº«ãŒæ„図ã—ã¦æŽ²è¼‰ã—ãŸã®ã§ã¯ãªãã€ã‚る仕掛ã‘ã«ã‚ˆã£ã¦ãƒ¦ãƒ¼ã‚¶ãƒ¼è‡ªèº«ãŒæ°—付ã‹ãªã„ã†ã¡ã«å¼•ãèµ·ã“ã•ã‚ŒãŸç¾è±¡ãªã®ã§ã‚る。ãã®ä»•æŽ›ã‘ã¨ã¯ã€CSRF（Cross-Site Request Forgeries）ã¨å‘¼ã°ã‚Œã‚‹æ”»æ’ƒæ‰‹æ³•ã®ä¸€ç¨®ã 。 編集部注： ç¾åœ¨ã€ã€Œã¯ã¾ã¡ã¡ã‚ƒã‚“ã€ãƒˆãƒ©ãƒƒãƒ—ã¯ã€mixié‹å–¶è€…ã«ã‚ˆã‚Šå¯¾ç–ã•ã‚Œã¦ã„ã¾ã™ã€‚上記ã®ã‚µãƒ³ãƒ—ルã¯ã€mixi風ã«å†æ§‹æˆã—ãŸã‚‚ã®ã§ã™ã€‚ 本稿ã®å†…容を検証ã™ã‚‹å ´åˆã¯ã€å¿…ãšå½±éŸ¿ã‚’åŠã¼ã•ãªã„é™ã‚‰ã‚ŒãŸç’°å¢ƒä¸‹ã§è¡Œã£ã¦ä¸‹ã•ã„。ã¾ãŸã€æœ¬ç¨¿ã‚’利用ã—ãŸè¡Œç‚ºã«ã‚ˆã‚‹å•é¡Œã«é–¢ã—ã¾ã—ã¦ã¯ã€ç†è€…ãŠã‚ˆã³ã‚¢ã‚¤ãƒ†ã‚£ãƒ¡ãƒ‡ã‚£ã‚¢æ ªå¼ä¼šç¤¾ã¯ä¸€åˆ‡è²¬ä»»ã‚’è² ã„ã‹ãã¾ã™ã€‚ã”了承ãã ã•ã„
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
{{#tags}}- {{label}}
{{/tags}}