教科書で学ぶWebアプリケーションへの攻撃
定義クロスサイトリクエストフォージェリ (CSRF) は、正規サイトにログインしたままの利用者に罠のページを開かせ、本人が意図しない リクエスト (サーバへの処理の依頼) をその正規サイトへ送らせる攻撃である。
解説罠のページには、開いただけで正規サイト宛ての書き込みや設定変更の依頼が送られる仕掛けが入っている。依頼はログイン中の利用者のブラウザから届くので、正規サイトのサーバは本人の操作と見分けられずに処理してしまう。対策の例として、正規の画面から送られた依頼かどうかを確かめる合言葉 (トークン) をサイト側で照合する方法がある。
たとえ本人の使いの者が運ぶ書類の束に、他人がこっそり偽の申込書を紛れ込ませるようなもの。使いの者はそのまま窓口へ出し、窓口は本人の使いが持ってきた書類なので本人からの依頼と区別できずに受け付けてしまう。
記憶フックフォージェリは forgery (偽造) のこと。この攻撃で偽造されるのは、サーバへの依頼 (リクエスト) である。