はじめに

Webアプリケーション開発において、セキュリティは避けて通れない重要なテーマです。特に、代表的な攻撃手法であるCSRF（クロスサイトリクエストフォージェリ）とXSS（クロスサイトスクリプティング）は、Webアプリケーションを攻撃する2つの異なる方法ですが、混同されがちです。

この記事では、CSRFとXSSの違いをわかりやすく説明し、それぞれの対策方法をRailsでどのように実装するかも解説します。

1. CSRF（クロスサイトリクエストフォージェリ）とは？

1.1 CSRFの概要

CSRF（Cross-Site Request Forgery）とは、攻撃者がユーザーの意図しない操作をWebアプリケーションに強制的に行わせる攻撃手法です。主に、ユーザーがログイン済みの状態で、信頼できるWebアプリケーションに対して、攻撃者が悪意のあるリクエストを送ることが可能です。

仕組み

ユーザーがログインしている状態で攻撃者の悪意あるページ（サイトB）を開く。
攻撃者は、ユーザーのブラウザを介して信頼できるサイト（サイトA）にリクエストを送信。
ログイン済みの状態を利用し、正規のリクエストと見なされてしまう。

被害例

勝手にユーザーのアカウント情報を変更される。
攻撃者が第三者への送金を行わせる。

2. XSS（クロスサイトスクリプティング）とは？

2.1 XSSの概要

XSS（Cross-Site Scripting）は、悪意のあるスクリプトをWebページに注入し、ユーザーの情報を盗む攻撃手法です。攻撃者がWebアプリケーションにスクリプトを挿入し、それがブラウザで実行されると、ユーザーの個人情報が盗まれたり、リダイレクトされたりします。

仕組み

攻撃者は、信頼できるサイトにスクリプトを注入します。
被害者がそのページにアクセスすると、ブラウザでスクリプトが実行されます。
スクリプトによってユーザーのクッキーやセッション情報が盗まれたり、不正操作が実行されます。

被害例

ユーザーの個人情報やセッションIDを盗まれる。
悪意のあるサイトにリダイレクトされ、さらに深刻な攻撃を受ける。

3. CSRFとXSSの違い

3.1 攻撃の対象

CSRF: ユーザーの意図しないリクエストを信頼できるサイトに送信し、サーバー側に不正操作を行わせる。攻撃者は信頼できるサイトに対して攻撃を行いますが、スクリプトを直接注入しません。
XSS: 悪意のあるスクリプトをWebページに注入し、ユーザーのブラウザで実行させます。攻撃者は主にユーザーのデータを狙います。

3.2 主な目的

CSRF: 攻撃者は、認証済みのリクエストを偽装し、サーバー側で不正操作を行わせることが目的です。
XSS: 攻撃者は、クライアント側（ブラウザ）でスクリプトを実行し、ユーザーの個人情報やセッション情報を盗み出します。

4. RailsでのCSRFとXSS対策

4.1 CSRF対策

Railsでは、CSRFトークンが自動的に付与され、リクエストごとにそのトークンが検証されます。これにより、攻撃者が不正なリクエストを送信しても、トークンが一致しなければリクエストが拒否されます。

CSRF保護の設定

class ApplicationController < ActionController::Base
  protect_from_forgery with: :exception
end

これにより、すべてのリクエストに対してCSRFトークンの検証が行われ、無効なリクエストは拒否されます。

4.2 XSS対策

Railsでは、出力時に自動的にエスケープ処理が行われるため、悪意のあるスクリプトが実行されるのを防ぎます。

エスケープ処理の例

<%= @user.name %>

このコードでは、@user.nameの内容が自動的にエスケープされ、もし悪意のあるスクリプトが含まれていても、そのままHTMLとして表示されるだけで、実行されません。

まとめ

CSRFとXSSは、どちらもWebアプリケーションに対する危険な攻撃手法ですが、攻撃の目的や手法が異なります。Railsでは、デフォルトで強力なセキュリティ対策が施されているため、これらの脅威に対しても効果的に防御することができます。しかし、対策の重要性を理解し、さらに適切な設定を行うことで、より安全なアプリケーションを構築することが可能です。

この記事を参考に、CSRFやXSSに対する理解を深め、より安全なRailsアプリケーションを作成しましょう。