「正しいCSRF対策、してますか？」記事へのコメント

ワンタイムトークンは不要では

[tix (7637)]

金床氏の提案する対策(「正しい対策その1: ワンタイムトークンを正しく使用する方法」)は、主に次の二つから成ります。リクエスト1とかレスポンス1とかの意味は 金床さんのページ [jumperz.net]を参照してください。

1. リクエスト1を POST にする(リクエスト1がGETだったらサーバーはエラー等を返すようにする)
2. ワンタイムトークンを使用する。詳しくは、 (a) 処理1でワンタイムトークンを生成する。 (b) レスポンス1に含まれるフォームにトークンを hidden フィールドとして追加する。 (c) 処理2では本来の処理(日記にデータを追加する等)の前に、 cookie として送られてきたセッション ID と hidden フィ

--
鵜呑みにしてみる？

Re:ワンタイムトークンは不要では

[Anonymous Coward]

> であれば、高木氏の提案する対策に加えてさらにリクエスト1を POST 専用にすれば、今問題になっている CSRF 攻撃対策と CSSXSS 問題対策はできているように思います。僕は何か見落としているんでしょうか。

それで、CSRF と CSSXSS は防げます。
ただし、対策を行わなかった場合には、Cookieに保存されている
セッションIDはCookie以外には保存されることはありません。
しかし、貴方の言うセキュリティ対策を行うと、
HTML内のhiddenフィールドにセッションIDが埋め込まれることになるわけです。

これが万が一漏洩したらセッションハイジャックの危険があります。
(他のブラウザのセキュリティホールやプロキシサーバのキャッシュ、PCの共有などが無ければ問題ありませんがね。)

冷静に考えてみて下さい。
SCRF対策、CSSXSS対策を行ったことにより、
他のセキュリティホールが生じる可能性が高まる状況は好ましいと言えますか？

Re:ワンタイムトークンは不要では

[Anonymous Coward]

(他のブラウザのセキュリティホールやプロキシサーバのキャッシュ、PCの共有などが無ければ問題ありませんがね。)

プロキシサーバのキャッシュにはSet-Cookieも残りますよ。
PCの共有でCookieが漏れないとでも？

Re:ワンタイムトークンは不要では

[Anonymous Coward]

>プロキシサーバのキャッシュにはSet-Cookieも残ります
LANでシビアな情報をやり取りするのは、パケット傍受される危険性があるよレベルの話。
ここでいうCSRF対策とは既に別次元の話だから、そういう可能性（他のブラウザ以下）
は考慮しないで済むので問題ありません、という事では？

話題がセキュリティ一般であるなら、考慮しないでよい理由は無いだろうけど。

Re:ワンタイムトークンは不要では

[Anonymous Coward]

しかし、貴方の言うセキュリティ対策を行うと、 HTML内のhiddenフィールドにセッションIDが埋め込まれることになるわけです。
これが万が一漏洩したらセッションハイジャックの危険があります。 (他のブラウザのセキュリティホールやプロキシサーバのキャッシュ、PCの共有などが無ければ問題ありませんがね。)

プロキシサーバのキャッシュにはSet-Cookieも残りますよ。

LANでシビアな情報をやり取りするのは、パケット傍受される危険性があるよレベルの話。ここでいうCSRF対策とは既に別次元の話だから、そういう可能性（他のブラウザ以下） は考慮しないで済むので問題ありません、という事では？

話がかみ合っていませんね。
「Cookieは漏洩しないがhiddenフィールドは漏れる」という想定が間違いという話でしょう。