URLは次の場所へ残る可能性があります。

• ブラウザ履歴

• アクセスログ

• プロキシログ

• 解析サービス

• Referer

• スクリーンショット

• 監視ツール

トークンはフォームボディまたはカスタムヘッダーで送ります。

19-6. SameSiteだけに頼る

SameSiteは強力ですが、次には注意が必要です。

• GETによる状態変更

• Same-Siteのサブドメイン

• クライアントサイドリダイレクト

• ブラウザ差

• SSO

• WebView

• Cookieの新規発行

• SameSite=None

• CORS誤設定

CSRFトークンと併用します。

19-7. Refererだけに頼る

Refererはプライバシー設定、プロキシ、ブラウザポリシーなどで欠落することがあります。

欠落時に無条件で許可すると迂回されます。

Origin検証とCSRFトークンを中心にし、Refererは補完として使います。

19-8. WAFだけに頼る

CSRFリクエストは、形式上は正規利用者のリクエストに見えます。

正しいURL
正しいCookie
正しいパラメータ
正しいHTTP形式

そのため、シグネチャ型WAFだけで利用者の意図を判断することは困難です。

WAFは次の補助には使えます。

• 異常なOriginの遮断

• Fetch Metadataによるポリシー

• レート制限

• ボット対策

• 不審な自動化の検知

• 既知の攻撃ペイロード検知