# CSRFって何？ こんばんは、エンジニアのおうちでまったり、 青少無粧ラジオのニューブルです。 この番組は、エンジニアだからお伝えできることや、 響きになったことなど、楽しくITを学べるチャンネルです。 聞きに来てくださって、ありがとうございます。 今日は、今更聞けないIT用語シリーズになります。 世の中にあふれているIT用語ですとか、 英語のよくわからない略称、難しいと思って避けてしまいがちな単語などなど、 この放送を聞いて、皆さんがITというものを もっと身近に感じてもらえれば嬉しいです。 また、本シリーズはハッシュタグがありますので、 そちらからこのシリーズの放送も聞いていただければと思っております。 ということで、今日は全4回シリーズの 脆弱性シリーズ第3弾になります。 お題はというか、お話しする内容は、 通称CSRFと呼ばれるCSRFですね。 正式名称は、フルで言うと、 クロスサイトリクエストフォージェリという形になります。 英語を4つの単語、クロスサイトリクエストフォージェリ という長々とした脆弱性がきましたが、 いきなり、ちょっと稽古が変わったなみたいな感じで、 ちょっと難しくなったかなと思うんですけど、 中身については、そんなに難しい脆弱性ではないので、 さっくり覚えていっていただければと思っております。 前回のクロスサイトスクリプティング、 偽の画面を見せて、そこで騙すっていうものだったらなんですけど、 今日のクロスサイトリクエストフォージェリについては、 もっと巧妙というか危険です。 ただ、本物のサイトの裏で本物のサイトを操作されるというか、 勝手に操作されるみたいな、 そういうちょっと巧妙なハイワナなんですけど、 その辺りをお話ししていきたいと思います。 まず、クロスサイトリクエストフォージェリって 何っていうお話なんですが、 先ほども言ったより一言で言うと、 あなたのフリをして、 ウェブサイトを勝手に操作する攻撃のことを言います。 これだけ言うと、本当に怖い攻撃脆弱性かなと思うんですけど、 最後についているフォージェリっていうのが、 偽物というか偽造という意味になってきます。 なので、本当に偽の情報、 ショッピングサイトとかで、 偽の買い物の依頼書みたいなのを 勝手に送られてしまう攻撃のことになっていきます。 # 「勝手に判子（ハンコ）を押される」で例えると？ 例えばのお話なんですけど、皆さんがある銀行のウェブサイトをアクセスしていたとします。 そうすると、まずログインの機能ってありますよね。そういうのでログインします。 ログイン中っていうことは、入金とか、入金はしないか、ウェブサイトで入金はありえないですね。 どこかに振り込みとか、そういう預金をいろいろ動かせる処理ってウェブサイトはあると思うんですけど、 そのために必要なIDとパスワード。現実でいうと、ハンコみたいなものを手に持った状態で、 これとこれやっていいですかって言ったときに、ハンコを押すみたいなことをして処理がされると思うんですけど、 それを、誰が、誰がって言ったらいいんですけど、裏でこっそりハンコを勝手に押されるっていう状態ができてしまうのが、このクロスサイト、Request for Jellyになります。 例えば、さっきのように、銀行のウェブサイトにログインしている状態で、その裏で悪い人が用意したいろんなサイトが、悪いサイトですね。 それがあるとします。それをもし開いてしまったとしましょう。 そうなったときに、その悪いサイトのさらに裏側で、銀行でのとある口座への送金処理みたいなのが仕込まれていて、 その悪い人の犯人って言っておきましょうかね。犯人の口座に、例えば10万円振り込むみたいな。 いきなり100万円はもしかしたら余金ないかもしれないので、10万円にしたりとか、かもしれないですけど、そんな感じで操作ができるという形になります。 なので、1個目としては、その偽の送金依頼書っていうのを裏で作成します。それで、ハンコを押すっていう操作を、またこれも自動でします。 この操作、あなたが正しいルートで銀行のサイトにログインしているっていう状態を作っているっていうのが裏で動いている。 裏でって言ったらあれなんですけど、動いてる状態で裏で悪い操作が、悪い依頼書を銀行に送金依頼が来たんですけどっていきますよね。 その時に、正しい方ではあなたのハンコを持っている状態で、あなたがログインしてるんで、そのログイン情報を裏の悪いサイトでも悪用することによって、銀行としては正しい人からの依頼が来たっていうのを勘違いしてしまうっていうことになります。 そうなると、その送金処理はOKっていうことで、受理されてしまいますよね。その結果、その振り込み処理がされてしまうという形になります。 これを見てる、その悪いサイトが、もし普通のサイトを見てたとしても、実は裏でそういう勝手に振り込み処理がされてるんですよ。 みんな完了されてしまうんですよっていうようなお話になります。 これがクロスサイトリクエストフォージェリの恐ろしさというか、そういう感じになります。 なので、あなた自身は何もしてないですよね。何もしてないですという悪い操作的な、怪しい操作っていうことは全くしてないのに、実は悪い操作がされてしまうという形になっていきます。 これでどんな被害がいろんなところであるのかっていうのは、先ほど言ったように銀行だと勝手に送金がされますっていうのがあるんですけど、 ウェブサイトでお買い物をするサイトだったら勝手に商品を頼まれて、これも悪い人のところに送付されたりとか。 あとは軽いものだったら勝手にSNSに投稿されたりとか。 これ結構いろんな問題になっているとかもあると思うんですけど、そういう乗っ取り的なやつのクロスサイトリクエストフォージェリが関係しているものもあったりとかもするんですけど。 あとは勝手に大会処理とか、後を残さずみたいな感じで、他の送金処理とか買い物しちゃうとかっていうのは、悪い人のところに送ったりとかするので、犯人が特定できちゃうんですけど、 勝手に大会してデータを全部消すみたいな感じになると、犯人の情報は乗らないので、ただ単の愉快犯というか、そういうのでもいると思うんですけど、そういうこともできたりしてしまいます。 という形で、これをお聞きのあなたがログインしているで、どこかに正規の形でログインしていても、実は裏で操作されてしまうことがあるんですよという話をさせていただきました。 # まとめ＆次回予告 はい、ということでまとめに入っていきます。 CSRF、Cサーフ、クロスサイトリクエストフォージェリーというのは、 ログイン中に、あなたが正規のログインをしている最中に、 そのあなたが知らないところで勝手な操作をさせられてしまう、 そういう攻撃のことを言います。 本物のサイト側っていうのは、偽の情報だとしても正しい認証情報というか、 そういうのが付いてくるので、サイト側は本人からの正しい依頼だというのを思い込んで、 正しい処理をしてしまうというのが問題というか、そういう形になります。 その作り自体が脆弱性を生んでいるので、 そのウェブサイト側が対策をしないといけないんですけど、 それの対策として一番多いのは、ウェブサイトを使っている最中に、 毎回画面遷移のたんびに、 ワンタイムのパスワード的な、ワンタイムとトークンって言うんですけど、 トークン情報、いろんなランダムな文字列があって、 それを長い文字列なんですけど、それを一個のアクセス、 要はリクエストのタイミングで、毎回毎回そのトークンを置き換えるというか、 新しいのにしていくという形になります。 なので、銀行とかでも、銀行とか多いんですけど、 普通のウェブサイトだったらないんですけど、 そういう悪いのがあったとしても知れているので、 銀行とかショッピングサイトは、一個のボタンをクリックするたびに、 裏でトークンを生成して、毎回毎回、 あなたは正しい人ですねっていうのを、 毎回毎回チェックするという処理が行われています。 それによって、裏でいきなり普通に操作している最中に、 いきなり送金処理がやってきたみたいな形になると、 その時にトークンが違うっていう形になるので、 これはちょっと変な操作からやってきた依頼なんだなっていうことで、 受け付けないみたいなことをするんですけど、 それによって裏で勝手に動かされている操作っていうのは、 除外できるという形で、そういうバリアを作って、 このクローズサイトリクエストフォージェリに対応するという形の作り方というか、 そういう仕組みを入れたりします。 ということで、まとめはそんな感じになります。 次回予告ですね。 次回予告、これまで今までは脆弱性で、ちょっと難しいというか、 特殊な命令を一番最初のSQLインジェクションですと、 難しいSQLの命令を注入したりですとか、 クローズサイトスクリプティングではプログラムを埋め込んで、 それを掲示板とかに表示させて、 それを見た人が悪い操作をしてしまったりですとか、 今回のクローズサイトリクエストフォージェリに関しては勝手に裏で操作されるみたいな、 ちょっと難しい高度な攻撃というのをお話ししてきたんですが、 最終回の明日、第4回目はもっと簡単な操作で、 意外とあなたが操作するときにちょっとうっかりミスとかでも、 もし起きてしまうかもしれない、 その脆弱性というかはちょっと微妙なところもあるんですけど、 そんな感じでちょっと間違って、 例えば、隣のホテルとかで、隣の部屋の部屋番号を間違って、 隣の部屋に入ってしまうみたいなことをするときに、 鍵が違うから本来入れないんですけど、 例えば全室の鍵が全く一緒だったら、 部屋を間違えると入れちゃうということが起きますよね。 そういうのも脆弱性の一個として存在するので、 この辺りのお話を明日の最終回は やっていきたいと思っております。 ということで、今日の今更聞けないIT用語、 CSRFクロスサイトリクエストフォージェリについて お話しさせていただきました。 それでは、今日も適当にまったりお過ごしください。 ありがとうございました。 # おまけ：理想の働き方 はいってことでおまけです。 デイリートークテーマです。今日のデイリートークテーマ 理想の働き方っていうことで 理想の働き方は働かないことですって言ったら、はい終わっちゃうんですけど 理想、働き方に、仕事に理想を求めるんでしょうかっていう 感じがしてしまって 話が終わってしまうんですが、仕事って考えると、働き方って考えると変なので 理想のやりたいことって考えるといいのかなと思ってしまいます 私が理想とするやりたいことっていうのは やりたいことで考えると、好きな人とか この人のために働きたいって言っちゃいましたね。この人のために何かしてあげたいっていう人のもとで その人がいかに 輝けるかというか その人の力をいかに発揮できるのかとか、その人を広める ために普及活動するにはどうしたらいいのかとか そういうことを考えて実行して、その結果が出て 私も楽しい、その人も嬉しいみたいな、そういう もう何でしょうね、ウィンウィンというか、みんながウィンになって、その結果その人を好きな人 というかその人が提供するものに 喜びを感じるというか、そこに憧れを感じるっていうのかな まあ嬉しさを感じる人という形で ウィンウィン、さらにウィンみたいな、もうその 嬉しさの 喜びの楽しさの、そういったものがいろいろ連鎖していくというか そういった環境を作れるっていう 作れたって言った方がいいのかな、そういう 環境を作れたってのを味わいたいというか、そういうのがやっぱり やりがいというか 仕事ってしちゃうとどうしても何か稼がないといけないとか そういう感じになってしまうので、そこに やりがいを感じる人も多いといるとは思うんですけど それをのけて、お金とか稼ぐとのはのけてって考えると やっぱり好きなことをするのが一番だと思うので そこに向けて どうやっていけばいいのかどうやればその立場に場所に立てるのか みたいなことを考えて今はがむしゃらにやるというか 頑張るというかそういうのが今は本当にそれはそれで楽しんで 楽しんで今やってますので全然 理想の働き方はこういうのだからこうしたいっていう のに向けて無理にやっていくっていうのは全然 やる必要はないというかそういうのもあると思うので まあ楽しんでやっていただければこれもお聞きの皆さんも 何かやりたいことがあれば ぜひコメント欄でいただければ本当にそれに対して 私ができることって 何でしょうね全て力になるっていうことはまず無理なのででも何かしら ちょっとしたこと小さなことだったら絶対にできることってあるんですよね これがまああの私だからじゃなくて この放送を聞いている a さんのために b さんができることとか まあその b さんのために c さんができることもちろんその a 棟 お互いに助け合うこととかそういうのって 大きいことじゃなくて本当に小さなこと 例えばもこのコメント欄とかだったら誰かがコメントつけますそれに対して返信をします なんとかでもそうですしただ単に8いいねを一つ押して帰るとかそれだけでもその コメントを残した人にとっては リアクションがあったというかそれもいいねだけでもフィードバック 出しです出すし言いましたねちょっとですしそういった 本当に 誰かが誰かのためになるなるような環境がこういったまボイシンに限らず sns もそうですけどそういった本当にソーシャルというかソーシャルってそういう意味でしたっけ ソーシャルね メディアネットワーク まあそういう なんか違うこと言いましたなんか違うこと言いましたね私 まあなんかそんな感じではいも人と人がつながり合える助け合える まあそういった環境をどんどん作っていけたらそういうところに身を置けたらいいのかなと 思っておりますという感じで 今日のでひとつでまぁ理想の働き方から理想の ことみたいな感じの話をさせていただきました 入ってくるで最後までお聞きいただきありがとうございました 当チャンネルでは今更聞けない it 用語シリーズ 今日のような形で身近でよく聞く it 用語だけど何それってなるような用語を誰にでも分かる形でお話しさせて いただいています またプレミアム放送もやっております プレミアム放送では公開できないプライベートの話ですとか 一般放送よりも先に情報を公開するなど プレミアムの方だけ限定放送も行っております ぜひ興味のある方は登録お願いします また2月から 初月無料の設定をしたいと思いますのでお試しで来ていただければと思っております その他各種 sns でも発信活動を行っておりますのでフォローの方よろしくお願いします はいということで最初にお知らせをまた忘れてましたねなぁ 忘れてしまいましたねあのラインスタンプできましたってお知らせを 毎回の放送の先頭に入れよう入れようと思ってもしつこいように入れてやろうと思っ てたんですがいきなり初回から忘れ まず昨日は入れてましたねちょっと忘れたのでまたちょっと お話しさせてくださいラインスタンプがありますのでこのチャプターに貼っておこうかなと思います のでぜひハムスターが日常会話できるような スタンプを用意してますのでぜひ使っていただければと思います ということでそれでは今日も適当にまったりお過ごしくださいありがとうございました