クロスサイトリクエストフォージェリ

ラボの中の小さな関数で比べます。要求は、方式 (method)、項目、クッキー、ヘッダーを持つ小さなオブジェクトで表します。Python の標準の部品だけで動き、外とは通信しません。サイトの住所は 127.0.0.1:8000 の想定です。

GET で受けるか、POST だけを受けるか

def change_email(req):sid = req.cookies.get("sid")user = SESSIONS.get(sid)if user is None:return 401user["email"] = req.params["email"]return 200

def change_email(req):sid = req.cookies.get("sid")user = SESSIONS.get(sid)if user is None:return 401if req.method != "POST":return 405user["email"] = req.params["email"]return 200

脆い方は、GET の要求でもメールアドレスを書き換えます。GET は、リンクを開く、画像を読み込むといった、ふだんの閲覧で送られる方式です。状態を変える操作を GET で受けると、別のサイトのページを開いただけで変更が起きます。IPA も、処理を実行するページは POST で受けるよう書いています。

ただし、POST にしただけでは止まりません。別のサイトのフォームからも POST は送れるからです。次の比べで、出どころを確かめます。

クッキーだけで本人とみなすか、出どころも見るか

def change_email(req):sid = req.cookies.get("sid")user = SESSIONS.get(sid)if user is None:return 401if req.method != "POST":return 405user["email"] = req.params["email"]return 200

SITE = "http://127.0.0.1:8000" def change_email(req):sid = req.cookies.get("sid")user = SESSIONS.get(sid)if user is None:return 401if req.method != "POST":return 405if req.headers.get("Origin") != SITE:return 403sent = req.params.get("csrf", "")tok = user["csrf"]if not hmac.compare_digest(sent, tok):return 403user["email"] = req.params["email"]return 200

直した方は 2 つを確かめます。1 つ目は Origin ヘッダーで、ブラウザが要求の出どころとして付ける値です。OWASP によると、このヘッダーはページの JavaScript からは書き換えられません。2 つ目はトークンで、ログインのときに推測できない乱数で作り、自分のフォームに埋めておく値です。別のサイトのページは、こちらのページの中身を読めないので、この値を知りません。

Origin が付いていない要求は、ここでは 403 で断っています。OWASP は、HTTPS であっても Origin が必ず付くとは限らないと書いています。付かない要求を受ける必要がある画面では、Referer ヘッダー (どのページから来たか) の確かめに切り替えるか、トークンだけで判断します。トークンの比べに compare_digest を使うのは、比べにかかる時間から値を推し量られないためです。

クッキーに印を付ける

def session_cookie(sid):return "sid=" + sid + "; Path=/"

def session_cookie(sid):return ("sid=" + sid + "; Path=/""; Secure; HttpOnly""; SameSite=Lax")

SameSite は、クッキーを別のサイトから始まった要求に付けるかどうかを決める印です。値は Strict、Lax、None の 3 つです。Strict は別のサイトからの要求には付けません。Lax は、リンクをたどるような、ページ全体の移動で安全な方式 (GET など) のときだけ付けます。None はいつでも付け、Secure の印が要ります。

OWASP は、Lax の限界をはっきり書いています。Lax は GET のページ移動ではクッキーを付けるので、状態を変える操作が GET で届くなら止まりません。最初の比べで POST だけを受けるようにしたのは、このためでもあります。