ログイン/登録フォームにAntiForgeryTokenを入力するのは意味がありますか？

Question

私の質問があまりにも単純ではないことを願っていますが、セキュリティに関して言えば、皆懐疑的です。

これらの2つのケース（ログイン/登録）以前はログインしていないユーザー（セッションCookie）がありませんでした。なぜログイン/登録フォームにAntiForgeryTokenがあるのですか？

Answer 1

通常、あなたはそうしません。あなたが話している攻撃は、クロスサイトリクエスト偽造（CSRF）です。このタイプの攻撃は、ログインしているユーザーに依存します（サイトAとサイトBにログインしていて、サイトAがこれを知っている場合、HTMLコードを入力すると、サイトBのようになりますそれを開始し、敏感な行動が実行される可能性があります）。これらの攻撃は、問題のサイトへのすべての要求を含むセッションCookie /トークンを送信するブラウザに依存しています（サイトAにはサイトBにアクションXを要求するリクエストが含まれているため、ブラウザはサイトBにリクエストを送信し、 （セッションクッキーを含む）は、その要求と共にサイトBに送信されます。

anti-CSRFトークンは、クライアントに要求フォームを送信するときに、クライアントがアクション要求とともに返信する必要がある推定不可能な値を含めるため機能します。戻ってくると、実行されるアクションのリクエストは、クライアントに送信したフォームから始まることがわかります。それが戻ってこない場合は、リクエストが偽造される可能性があるので、無視してください。サイトAのコードがサイトBへのリクエストを送信した場合、サイトBのセッションCookieを使用しても、サイトAのコードは反CSRFトークン値を含むことを知らないため、偽装されたリクエストは拒否されます。

サイトでCSRF攻撃を防御しようとしている場合、これらのトークンを、機密アクションを開始できるすべてのフォームに含めて、ログインしたユーザーを利用して偽のリクエストを防止する必要があります。この防御は、ログインしていないユーザーにとっては無関係です。ユーザーが現在ログインしていなければ、ブラウザがすべての要求を含むセッションCookie /トークンを送信するという事実を利用することはできません。