cookieって何？おいしいの？

cookieの定義

Set-cookie: cookie-price=130;cookie-kind=choco;

Set-cookie: id=xxx; Expires=Thu,21 Dec 2022 12:00:00 GMT; Secure; HttpOnly

Cookie: id=xxx; cart-item=yyy;

中間者攻撃
- 暗号化されていないHTTP通信の場合、中間者にCookieを傍受されるかも
- 対策: Set-cookieでSecureを設定し、HTTPSでのみCookieが送られるようにする
XSS(クロスサイトスクリプティング)攻撃

XSS攻撃: 攻撃者が悪意のあるスクリプトをクライアント側に埋め込み、ユーザがアクセスなどしたときに実行させる

フォームなどの入力時に埋め込まれた悪意のあるスクリプトから、Cookieが参照され悪用される可能性がある
- 対策:Set-cookieでHttpOnlyを設定し、JavascriptからCookieが参照されないようにする
CSRF(クロスサイトリクエストフォージェリ)
- 古い呼び方だと「イメタグ攻撃」
- 意図しないリクエストをWebサーバへ送信させる攻撃。
  - 例: 銀行口座から100ドルを送金するGETリクエストGET http://bank.com/transfer.do?acct=BOB&amount=100 GTTP/1.1をimgタグのsrcに埋め込み、ローディング時に発火させる
- Cookieの有効期限が切れていない状態でこれを踏むと...
- 対策
  - CSRFトークンをサインインごとに再生成し、リクエストごとにヘッダーに含めるようにする。サーバ側でチェックし、期待値でなければリクエストを中止する。
  - Cookieの有効期限を短くする(SameSite属性をStrictorLaxに設定)