新人と先輩の会話形式で理解しよう

新人

「PHPでCSRF対策ってどうやるんですか？」

先輩

「CSRF攻撃を防ぐには、セッション・トークンを活用する方法があります。これで不正なリクエストを防ぐことができますよ。」

新人

「セッション・トークンって何ですか？」

先輩

「セッション・トークンは、フォームに埋め込むことで、ユーザーからの正当なリクエストかどうかを確認するためのものです。」

-

1. CSRFとは？

CSRF（Cross-Site Request Forgery）とは、ユーザーが意図しない操作をウェブサイト上で実行させる攻撃のことです。この攻撃を防ぐためには、正当なリクエストであることを確認する必要があります。

具体的には、攻撃者が悪意を持って、ユーザーがログインしているウェブサイトに対して、第三者のリクエストを送信させる方法です。例えば、ユーザーが銀行にログインしているときに、攻撃者がユーザーの名前で不正に送金させるようなことが起こります。

2. CSRF攻撃がどのように行われるか

攻撃者は、ユーザーがログイン中のウェブサイトに、ユーザーが意図していないリクエストを送信させます。例えば、以下のような方法で攻撃を行います：

ユーザーに悪意のあるリンクをクリックさせる：攻撃者はユーザーにリンクをクリックさせ、意図しないリクエストを送信させます。
不正なフォームを送信させる：攻撃者は、ユーザーがログインしているウェブサイトのフォームを不正に送信し、操作を実行させます。

このように、CSRF攻撃はユーザーが意図しない操作を実行させるため、ウェブアプリケーションのセキュリティを脅かす大きなリスクとなります。

3. CSRF対策のためのセッション・トークンとは？

CSRF攻撃を防ぐためには、セッション・トークンという仕組みを使用します。セッション・トークンは、サーバーが生成するランダムな文字列で、ユーザーがリクエストを送信する際に、正当なリクエストかどうかを確認するために利用されます。

セッション・トークンは、フォーム内に隠しフィールドとして埋め込まれ、送信されます。サーバーは送信されたトークンと、セッションで保持しているトークンを照合し、一致すればリクエストが正当なものであると認証します。これにより、攻撃者が不正にリクエストを送ることができなくなります。

PHPでは、以下のようにしてセッション・トークンを生成できます：


<?php
// セッションを開始
session_start();

// ランダムなセッション・トークンを生成
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
?>

上記のコードでは、PHPのrandom_bytes()関数を使用して、32バイトのランダムなデータを生成し、それを16進数に変換してセッションに保存しています。

このトークンを、ユーザーが送信するフォームに埋め込むことで、リクエストが正当かどうかを判定できます。

4. PHPでCSRF対策を実装する方法

次に、実際にPHPでCSRF対策を実装する方法を見ていきましょう。具体的には、フォーム内にセッション・トークンを埋め込む方法と、送信されたトークンを検証する方法です。

4.1 フォームにセッション・トークンを埋め込む

ユーザーがフォームを送信する際に、セッション・トークンを含める必要があります。次のコードでは、フォーム内にトークンを埋め込む方法を示します：


<?php
// フォーム内にセッション・トークンを埋め込む
echo '<form method="POST" action="submit.php">';
echo '<input type="hidden" name="csrf_token" value="' . $_SESSION['csrf_token'] . '">';
echo '<input type="submit" value="送信">';
echo '</form>';
?>

上記のコードでは、$_SESSION['csrf_token']に保存されているトークンを、フォーム内の隠しフィールドとして埋め込んでいます。これにより、フォーム送信時にトークンが送信されます。

4.2 送信されたトークンを検証する

次に、送信されたリクエストが正当なものかどうかをサーバー側で検証する方法です。送信されたトークンをセッションのトークンと比較し、一致する場合にのみリクエストを受け入れます。


<?php
// フォーム送信時に送られてきたトークンを検証
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // セッションのトークンと送信されたトークンを比較
    if (isset($_POST['csrf_token']) && $_POST['csrf_token'] === $_SESSION['csrf_token']) {
        echo '正当なリクエストです。';
    } else {
        echo 'CSRF攻撃の可能性があります！';
    }
}
?>

このコードでは、フォーム送信時に送られたcsrf_tokenと、セッションに保存されているトークンを比較しています。一致すればリクエストは正当と認証され、一致しなければCSRF攻撃の可能性があるとしてリクエストを拒否します。

これで、PHPを使用した基本的なCSRF対策が実装できます。セッション・トークンを活用することで、不正なリクエストを防ぎ、セキュリティを高めることができます。

-

5. CSRF対策のセッション・トークンを使うメリットとデメリット

CSRF対策としてセッション・トークンを使用する方法には、いくつかのメリットとデメリットがあります。以下では、それぞれについて説明します。

メリット

セキュリティ向上：セッション・トークンは、リクエストが正当なものであることを確認するため、悪意のあるリクエストを防ぐ効果的な方法です。
簡単な実装：PHPで簡単に実装できるため、複雑な設定なしでCSRF攻撃を防げます。
ユーザーを守る：攻撃者がセッションIDを盗むことができても、セッション・トークンがなければリクエストを不正として拒否できるため、ユーザーのセッション情報を守ることができます。

デメリット

セッション管理の複雑化：セッション・トークンを管理するため、サーバー側での管理が若干増えるため、実装に少し手間がかかることがあります。
フォームの複雑さ：各フォームにトークンを埋め込む必要があり、大規模なアプリケーションでは全てのフォームにこの処理を追加する手間がかかることがあります。

それでも、セッション・トークンを使用したCSRF対策は、そのセキュリティの効果から、ウェブアプリケーションのセキュリティ強化には欠かせない技術となります。

6. 実際のプロジェクトでの活用方法（フォーム送信など）

実際のプロジェクトで、CSRF対策を適用する方法を見ていきましょう。ここでは、フォーム送信時にセッション・トークンを活用する例を紹介します。

6.1 フォーム送信時のCSRF対策

ユーザーがフォームを送信する場合、そのリクエストが正当かどうかを確認するために、フォームにセッション・トークンを埋め込む必要があります。例えば、次のようにフォームにCSRFトークンを埋め込むことで、リクエストが正当であることを検証できます：


<?php
// フォームにCSRFトークンを埋め込む
echo '<form method="POST" action="submit.php">';
echo '<input type="hidden" name="csrf_token" value="' . $_SESSION['csrf_token'] . '">';
echo '<input type="submit" value="送信">';
echo '</form>';
?>

フォームに埋め込まれたcsrf_tokenを送信することで、サーバー側でトークンの一致を確認し、不正なリクエストを防ぎます。

6.2 トークンの検証

フォームから送信されたトークンを、サーバー側で検証する処理を実装します。送信されたトークンがセッションに保存されているトークンと一致するかを確認します：


<?php
// フォーム送信時に送られてきたトークンを検証
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // セッションのトークンと送信されたトークンを比較
    if (isset($_POST['csrf_token']) && $_POST['csrf_token'] === $_SESSION['csrf_token']) {
        echo 'リクエストが正当です。';
        // 正当なリクエストに対する処理
    } else {
        echo '不正なリクエストです。';
        // CSRF攻撃としてリクエストを拒否
    }
}
?>

このコードでは、送信されたトークンがセッションに保存されたトークンと一致するかを確認しています。もし一致しない場合、そのリクエストは不正として拒否されます。

6.3 ログイン機能への適用

実際のプロジェクトでのログイン機能でもCSRF対策は重要です。ユーザーがログインフォームを送信する際に、セッション・トークンを使って正当性を確認します。これにより、攻撃者による不正なログインを防ぐことができます。


<?php
// ログインフォームにCSRFトークンを追加
echo '<form method="POST" action="login.php">';
echo '<input type="hidden" name="csrf_token" value="' . $_SESSION['csrf_token'] . '">';
echo 'ユーザー名: <input type="text" name="username"><br>';
echo 'パスワード: <input type="password" name="password"><br>';
echo '<input type="submit" value="ログイン">';
echo '</form>';
?>

ログイン処理では、セッション・トークンを使用して、不正なログイン試行を防ぎます。フォーム送信時に送信されたトークンをサーバーで検証し、不正なリクエストが来た場合にはアクセスを拒否します。