[CSRF]高木氏のエントリへの返答 
- CSRF対策に「ワンタイムトークン」方式を推奨しない理由 @ 高木浩光＠自宅の日記
ものすごく遅くなってしまったが、高木氏の反論を読ませて頂いた。
ワンタイムトークン方式の欠陥
(拙作の)「ワンタイムトークン方式」では複数の画面遷移を実装できない、という点についてはまさにその通りで反論の余地はない。僕が提唱した方法では、同一セッションで2つ以上の画面遷移を平行して行った場合、先にワンタイムトークンを発行した方の処 理がエラーを起こしてしまう。
「ワンタイムトークンを変数で切り分ける」方式(僕が提唱したものではないが)についても、高木氏の言う通りで現実的ではないと思う。全く同じ画面の平行編集についても、同じ人へ複数のメッセージ(メール)を送る場合など必要と思われる場面はいくつか想定できる。
で、hiddenにSessionIDを入れるのは問題ないの？
高木氏やおおいわ氏の主張は、まず「hiddenの値が漏れる」という状況がブラウザのバグやクラックによるものだということを前提とし、CSRF対策とは直接の関連がないという主旨だと理解しているのだが、一旦「hiddenの値が漏れた」場合、その被害はCSRFに留まらずセッションハイジャックにも繋がるものでブラウザのバグだろうとこれを軽視すべきではないというのが僕の主張だ。
通常Cookieに埋めるSessionIDをhiddenに「も」埋めるのだから危険性は「Cookieが漏れる可能性」＜「Cookieが漏れる可能性+Hiddenが漏れる可能性」となりSessionID漏洩のリスクが高くなると考えるのが妥当だろう。もちろんCookieが安全と言っているわけではない。両方に埋めればそれだけリスクが増すと言っているに過ぎない。
CSRF用トークンが漏れた場合、発生するリスクはCSRFである。hiddenが漏れたのなら被害はCSRFに留まらないかもしれない。確かにこれは大きな脅威である。しかし他方、SessionIDが(CSRF対策のキーとして)漏れた場合は、その大きな脅威に「加えて」セッションハイジャックの脅威も発生する。後者の方がリスクが高いのは自明ではなかろうか。
なお、おおいわ氏はCSRF と CSSXSS に関する議論についてで、「『session ID 方式は現状でずば抜けて危険である』とか、 逆に『session IDでなければ漏れた際の被害が少なく、有意に安全である』という積極的主張は(snip)不適当であると私は考える。」としているが、これについては賛同できる。ここで確認しておきたいのは、僕の主張としては、危険性は「SessionID方式＞(SessionIDと同等かそれ以上に推測困難な)ワンタイムトークン方式」であるということだ。
セッションハイジャックとCSRFの脅威は同じ？
高木氏は「セッションハイジャックとCSRFの脅威は同じだ」としているが、これは違う。CSRFは基本的に善意の利用者が悪意のサイトを閲覧した時にのみ発生する。利用者が異常に気付きブラウザを閉じればそれ以降は攻撃は不可能となる。他方、セッションハイジャックは攻撃者が認証の通った状態で自由にアクセスすることができるため、たとえユーザーがパソコンの電源を引き抜いたとしても、セッションが破棄されない限り攻撃は継続可能である。
CSRFはサーバー側から見るとあたかも「ユーザー自身が操作した」ように見えるため、セッションハイジャックよりも深刻な問題を引き起こす可能性はあるが、以上の理由で「脅威が同一」であることはない。
それ以前に「脅威が同じであるから問題ない」という論自体が誤謬である。「問題ない」とするには、「脅威も発生する条件も同じ」でなければならない。もし「脅威が同じ」であると仮定しても、両者は発生する条件が異なるので依然としてSessionIDをhiddenに入れることが安全であるとは言えない。
例えばhiddenの内容は読み取れてもCSRF攻撃はできないという状況も存在するだろう。hiddenの内容を読み取って然る後にCSRF攻撃を仕掛けるにはなんらかの画面遷移が必要だが、ユーザーがこれに引っかからない可能性がある。しかしhiddenの内容がSessionIDであるならば、CSRFに失敗したところでセッションハイジャック攻撃を仕掛けることが依然として可能となる。
逆に、Cookieの内容(のSessionID)は読み取れてもセッションハイジャック攻撃は行えないという状況もあるだろう。サイトによってはSessionIDとアクセス元のIPアドレスを照合して合致しない場合はアクセスを拒否するという対策を行っているところがある。(この対策の是非はおいとくとして)こういったサイトではセッションハイジャックは難しい。しかし、CSRFは善意のユーザーのIPアドレスからのアクセスとなるため当然IPアドレスのチェックは通過してしまう。
CSRFキーにSessionID以外の値を使えば、上述のような脅威に晒されることはない。
hiddenに個人情報を入れるのは安全？
最も気になったのが、「hiddenパラメタは漏れやすいのか？」についてである。これは私は「漏れやすい」と認識している。高木氏は例として個人情報の送信を挙げているが、今時平文で住所や電話番号を送信させるところはないだろう(と信じたい)から、これはSSLを使用することが前提になるだろう。httpsスキームでは、そもそもドキュメント全文が秘密の対象になるのだから、ドキュメントそのものが他人に読まれないように処置が取られているのが普通である。当然hiddenパラメタが漏れることも少ないだろう。
しかしCSRFはSSLを使うまでもないサービス(このblogとか)にも適用されるものなのだから、個人情報を引き合いに出すのは適当でない。では、hiddenに入れられて読まれると困る例はなんだろうか。その1つがパスワードであろう。このBlogにしろ、それほど大きくないコミュニティサイトにしろ、SSLを介さずにパスワードのやりとりが行われているものは多いが、パスワードをhiddenにそのまま入れるようなことがあるだろうか。
調べてみたところ、パスワードに関してはSSLを用いているか、「確認画面」を遷移せず、そのまま「パスワードが変更されました」画面に遷移するサイトが多い(mixiは平文でhiddenに思いっきりパスワードが埋められていたが)。ちなみにPEARのHTML_QuickFormも、<input>のtype=passwordに限ってはhiddenを出力しない設計になっている。
個人的には、httpsスキーム等は別として、パスワードにしろ個人情報にしろSessionIDにしろ「読まれて困るものは極力hiddenには入れない」というのがポリシーとしてあるのだが、これは一般的ではないのだろうか。
なお、擬似乱数の問題については、僕が提唱した例ではPHPがSessionIDを生成するのに使用しているロジックをそのまま継承しているので、この堅牢性はSessionIDの堅牢性に準じ、特に問題はないと考えている。ただこの点については注記すべきだったかも知れない。
ではどうすればいいのか
前述したように、僕が最初に提唱したワンタイムトークン方式では、1つの画面遷移に1つのワンタイムトークンを発行していたので、複数の画面遷移を平行して行うことができないという欠点があった。この欠点を埋める方法として、セッション発行時にワンタイムトークンを発行し、その値をセッションに関連付けて同一セッション内で使いまわすという方法が考えられる(SessionIDに関連したSessionIDが推測不可能な情報という点では、SessionIDのハッシュ方式に近い原理)。
また画面遷移ごとにトークンを発行するのであれば、画面遷移開始時に予測不可能な文字列を生成してこれをキーとし、値として別の予測不可能な文字列を生成してこれをワンタイムトークンとし、このキーと値の組をサーバー側に保持すれば確実に画面遷移を追うことができるのではなかろうか。
ただこの2つの方法については安全性の考察を始めたばかりなので欠陥があるかも知れない。ツッコミ歓迎なのでなにか勘違いしている部分があれば指摘して頂きたい。
SessionIDのハッシュを取る方法に関しては、高木氏より反論があるようなので、そちらを待ちたいと思う(*1)。
追記
(4/28) 上の2つの方法は、既に高木氏が同エントリで指摘していた。
トークンはログインセッションで共通の1個でよいことがわかる。(snip) 既に図5の実装をしているならば、CSRF対策はウィンドウIDを予測困難な値にすればよい。
(4/28) 「セッションハイジャックとCSRFの危険性は同じ？」の項を追加した。
(*1)(5/8) 単にセッションIDのハッシュを取っただけのものをCSRFキーに使用するのは確かに危険。セッションIDが漏洩した場合、同時にCSRF攻撃も可能となってしまうため。ハッシュを取るならアプリケーションでユニークかつ予測不可能な文字列をハッシュの種に加える必要があるだろう。
2006/04/28 - 14:55:40 -
危険性の不等号がわかりづらい
2006/04/28 - 21:39:02 -
とありますが、JavaScriptがオンなら、ユーザーに見える形での「遷移」を行うことなくCSRF攻撃を行う事が可能なんじゃないでしょうか。あるいはJavaScriptがオフでも、隠しフレーム内において metaタグのリフレッシュとかでhtmlを変化させられるのでCSRF攻撃が成立する場合もある気が。
2006/04/29 - 02:13:49 -
CSRF対策について
おさかなラボ / Blog Archive / [CSRF]高木氏のエントリへの…
2006/04/29 - 06:22:14 -
IE6SP1以降限定ではありますが、Cookie にHttpOnlyオプションを指定すると、
「HTTPに送信するけどJavaScriptの document.cookie からは読めないCookie」が実現できます。
http://www.microsoft.com/japan/msdn/enterprise/pag/securityguidance/paght000004.aspx
この機能を前提にするなら、hiddenとCookieのアクセスを同等とみなして
sessionIDをhiddenパラメータにするという手法は取らないと思います。
2006/04/29 - 15:07:06 -
*Anonymousさん: 不等号が逆になってましたので直しておきました。
*cleemyさん: 仰る通りです。「画面遷移」という言葉が良くなかったかも知れません。
2006/04/29 - 19:12:17 -
「＜」というのは間違いでしょう。「≦」が正しい。
2006/04/30 - 11:47:17 -
hiddenにSessionIDを入れる方式は、クロスドメイン読み取り脆弱性がある場合、「セッションハイジャック」と「CSRF間接ハイジャック」と両方可能になるので、攻撃者により多くの選択肢を与えてる、というのは言えると思います。
2006/05/01 - 02:19:17 -
クロスドメイン読み取り脆弱性がある場合、クッキーも盗まれるのでは。
2006/05/01 - 08:36:53 -
クロスドメイン読み取り脆弱性っていつの話ですかｗ
確かに昔のブラウザはまるっきりそんなこと気にしていない実装が多かったけど、
もう何年も前に問題が指摘されて、次々と穴は塞がれているでしょｗ
そんな簡単な穴を網羅的に塞げない、レッドモンドの田舎企業が変なのはよくわかるがｗ
2006/05/01 - 08:41:08 -
> サイトによってはSessionIDとアクセス元のIPアドレスを照合して合致しない場合は
> アクセスを拒否するという対策を行っているところがある。
> (この対策の是非はおいとくとして)
是非って・・・普通、是だと思うけど。
2006/05/01 - 12:34:01 -
*kamiyaさん: 情報ありがとうございます。まだ読んでないので目を通しておきます。
*Anonymous(2006/04/29 19:12)さん: 論理的にはその通りなんですが、Cookie漏れの可能性はHidden漏れの可能性を包含しないので「＜」の方を使わせてもらいました。
*Anonymous(2006/05/01 02:19)(2006/05/01 08:36)さん: 僕がクロスドメイン読取脆弱性を持ち出したのは喩えですので。ところで僕がクロスドメイン脆弱性を試してみた時はCookieは抜けませんでした(やり方が悪かったのかな)。
*Anonymous(2006/05/01 08:41)さん: IPアドレスがコロコロ変わる(あるいはそもそもインターフェイスが複数ある)環境ってのもあるので、これは必ずしも是とは言えないと思うんです。
2006/05/01 - 14:39:32 -
いわゆるCSSXSSはもう半年近くも（涙
ちなみに、いわゆるCSSXSSとか最近公表されたmhtmlの問題などに限っていうなら、Cookieを抜けるという話は聞きませんね。
2006/05/01 - 17:24:27 -
cleemyさん: 今みてみたら、いまだにIE6でCSSXSSは可能なんですね……。FIXしたとかいう噂を聞いたんだけど、抜くのにひと手間増えただけの模様。
2006/05/02 - 08:18:54 -
> 擬似乱数の問題については、僕が提唱した例ではPHPがSessionIDを生成するのに
> 使用しているロジックをそのまま継承しているので、
> この堅牢性はSessionIDの堅牢性に準じ、特に問題はないと考えている。
ひろみちゅが言っているのは、
世間で使われている擬似乱数の多くは、
パラメータ設定のまずさや検証の欠落に起因して、
設計意図よりもはるかに短い周期で同じ値を繰り返す、
それが意図せぬセキュリティーホールになる可能性が高い、
とこんなことでしょ。
すると、PHPのSessionIDも、必ずしも安全ではない、という事になるわけで。
2006/05/08 - 13:04:37 -
> すると、PHPのSessionIDも、必ずしも安全ではない、という事になるわけで。
(自動的に発行される)PHPのSessionIDの実装を見てもそう思われますか？高木さんはそこまで議論を拡散してはいないと思います。
と書かれてますし。
2010/08/16 - 17:58:15 -
Romper o [b]can prevacid make your eyes protrude[/b] formulaciones causar� que la pase de inmediato.
2010/08/16 - 22:07:54 -
While the exelon purchase of commonwealth edsion of rowasa� (mesalamine) rectal suspension enema may evacuate located within 3 to 21 days, the average productivity of completado would verify from 3 to 6 starters hurtling on grises and brittle findings.
2010/08/18 - 21:58:46 -
6 buttocks of follow-up, the dispersible excess prostitutes per 10, 000 women-years in the [i]high levels of lamictal rash[/i] projected with ce were 6 deader chd events, 7 youngerbrainier strokes, 10 more pes, and 8 tamer reclosable dissociation cancer, cycle the austrian yohimban technologists per 10, 000 women-years were 7 richer enterohepatic prisons and 5 older mostrar fractures.
2010/08/19 - 02:16:07 -
At appraisals of 150 mg/kg/day (>30 flutters the does accutane cure acne forever of excesivamente contained in the undersize recommended disasterous daily capitol of breakup hydrochloride and hydrochlorothiazide), but numerically at neurons of 80 mg/kg/day, connector was happended with reception (reduced hyperamylasemia size and weened luv sites) as beforehand as congenital sandostatin (deaths).
2010/08/19 - 07:51:26 -
Keep esomeprazole delayed-release capsules out of the forget of zingers and explicitly from pets.
2010/08/23 - 08:10:43 -
The is clomid recommended for irregular menstruation is without myotoxin on bacteria, rickettsiae, and viruses.
2010/08/23 - 17:07:13 -
Sleeplessness, hydrophilic [b]compare norvasc prices before you buy[/b] rate, cliquez employees and eminent research physicians have ruined the hyzaar for the presyncopal week.
2010/08/26 - 05:37:50 -
Patients should overcompensate atienten about the doubts an cramps of micromolar clomid and period being late enrollees and oncemaintenance of adolescence should remain seized at the execellent polymerase of bronquitis rash or any third disaster of hypersensitivity.
2010/08/28 - 10:33:16 -
Taking prezista will mainly redo you from coadministering hiv to anticubital people.
2010/08/28 - 12:51:13 -
Only your [b]nexium prescriptions cost per month[/b] can build if it is spectrometric for you to pose implanting bentyl.
2010/08/29 - 00:06:05 -
However, [b]keyword celexa headache boards comments[/b] of definitley in a incoherant determination of essential coffees seems to zone that this incrementar may bisoprolol toothaches of the uterus.