CSRFの検索結果1 - 2 件 / 2件

• あとで読む

  令和時代の API 実装のベースプラクティスと CSRF 対策 | blog.jxck.io

  • 537 users
  • blog.jxck.io
  • テクノロジー
  • 2024/04/26

  Intro CSRF という古の攻撃がある。この攻撃を「古(いにしえ)」のものにすることができたプラットフォームの進化の背景を、「Cookie が SameSite Lax by Default になったからだ」という解説を見ることがある。 確かに、現実的にそれによって攻撃の成立は難しくなり、救われているサービスもある。しかし、それはプラットフォームが用意した対策の本質から言うと、解釈が少しずれていると言えるだろう。 今回は、「CSRF がどうして成立していたのか」を振り返ることで、本当にプラットフォームに足りていなかったものと、それを補っていった経緯、本当にすべき対策は何であるかを解説していく。 結果として見えてくるのは、今サービスを実装する上での「ベース」(not ベスト)となるプラクティスだと筆者は考えている。 CSRF 成立の条件 例えば、攻撃者が用意した attack.examp

  • CSRF
  • セキュリティ
  • api
  • security
  • あとで読む
  • cookie
  • xss
  • web
  • 開発
  • プログラミング

  
• あとで読む

  Referrer-Policy の制限を強めると安全になるという誤解 | blog.jxck.io

  • 32 users
  • blog.jxck.io
  • テクノロジー
  • 2024/05/08

  Intro Referrer-Policy は、送信される Referer の値を制御することが可能だ。 このヘッダの副次的な効果をよく理解していないと、「no-referrer にして送らないのが最も安全だ」という誤解を生むことになる。 では、複数あるポリシーの中でどのような観点で、どのディレクティブを採用するのが良いのだろうか? 前提として前回の記事の「リクエストの出自をチェックすることは現代の実装のベースプラクティスである」という点を踏まえて考えてみる。 令和時代の API 実装のベースプラクティスと CSRF 対策 | blog.jxck.io https://blog.jxck.io/entries/2024-04-26/csrf.html Referer とアナリティクス Referer は、リクエストに対してその前のページの URL を送るところから始まった。 GET / H

  • CSRF
  • security
  • referer
  • http
  • browser
  • web