戻る
ネットワーク接続される機器の保護、更新、監視、制御を大規模に実現
- デジタルトラスト製品/サービス一覧：
- エンタープライズ IT、PKI、ID
- ウェブサイト＆サーバー
- コード＆ソフトウェア
- 文書＆署名
- IoT＆コネクテッドデバイス
PKIと証明書のリスクを一元管理
PKIと証明書のリスクを一元管理
証明書ライフサイクルの
管理をもっとスマートに
- 発行 ＆ インストール
- 検知 ＆ 復旧
- 更新 ＆ 自動化
- 選任 ＆ 委譲
CI/CD や DevOps のための継続署名
- ソースコード完全性の保証
- ソフトウェア署名の自動化
- 鍵と権限の一元管理
- 規則の適用を効率化
安全で柔軟性の高い世界基準の署名
- 暗号鍵に基づいたID
- 遠隔身元証明（RIV）
- AdobeとDocuSignとの簡単連携
- 柔軟なワークフロー
半導体埋め込みから後付けまでの
信頼チェーン
妥協なきデバイスセキュリティ
- トラストアンカーの埋め込み
- デバイス管理の自動化
- 効率的な一元管理
安全なアプリ開発を加速
- OSとプロセッサに依存しない開発
- 柔軟なメモリ容量
- 多くの開発言語に対応
人工衛星からペースメーカーまで、デジタルで信頼がどのように守られているかをご覧ください。
人工衛星からペースメーカーまで、デジタルで信頼がどのように守られているかをご覧ください。
TLS/SSL ベスト
プラクティスガイド
2022 年版
DevOps 向けの
実用に耐える
署名ポリシーを
確立するには
グローバルで文書の
署名と規制を管理する
デジサートと MATTER：
スマートホーム
デバイスのための
新しいセキュリティ規格
デジサートと MATTER：
スマートホーム
デバイスのための
新しいセキュリティ規格
デジサートと MATTER：
スマートホーム
デバイスのための
新しいセキュリティ規格
デジサートと MATTER：
スマートホーム
デバイスのための
新しいセキュリティ規格
戻る
業界最良の証明書を管理するためのベストプラクティスガイド
全てを満たす最高のウェブサイト
セキュリティ
- 優先認証
- マルウェアスキャン
- 脆弱性アセスメントおよび PCI スキャン
- 継続的なCT ログモニタリング
- DigiCert Smart Seal と Norton Seal
- 他社を大きくしのぐ補償サービス
デジタルファーストの企業に最適
- 優先認証
- マルウェアスキャン
- DigiCert Smart Seal
- プロフェッショナルサービス
- 他社を大きくしのぐ補償サービス
安全と柔軟性を備える基本的な証明書
- 定評あるサポート
- ブラウザ対応率99%
- OV と EV に対応
- DigiCert Basic Seal
- プロフェッショナルサービス
柔軟で高機能、簡単に追加可能
- 全ての企業認証型（OV）証明書に対応
- １ドメインで全サブドメインに対応
複数ドメイン向けに
柔軟なオプション
- 全てのEVと企業認証型（OV）証明書に対応
- 250ドメインまで対応
- マルチドメイン (UCC) SSL証明書
- SAN (Subject Alternative Names) 証明書
他に無い、最新機能のトラストマーク
- 顧客の信頼を得る
- コンバージョンを伸ばす
- 83%の顧客が価値を感じる機能
- コンシューマが選ぶ「最新鋭機能」
顧客に信頼されるメールを送信
- DMARCでフィッシング対策
- メール受信箱で「見える」認証済み
- メール開封率の向上
コード署名でソフトウェアを
安全に保つ
- 知的財産の保護
- EVと企業認証型（OV）を提供
- タイムスタンプと鍵保管オプション
- HSMに対応
フィッシング詐欺対策向け
電子証明書
- S/MIME 対応メールで利用可能
- ゲートウェイ/サーバ型配信に対応
- 送信元の実在性証明で安心
主要ワークフロー製品と連携可能な
電子署名で文書を信頼
- 法的効力を持つ署名
- 全世界で利用可能
- 個人向けまたは企業向け署名
業界最高水準の証明書を
管理するためのベスト
プラクティスガイド
2022 年版
業界最高水準の証明書を
管理するためのベスト
プラクティスガイド
2022 年版
何千社もの業務改善を
支援してきた証明書管理チェックリスト
何千社もの業務改善を
支援してきた証明書管理チェックリスト
TLS/SSL ベスト
プラクティスガイド
2022 年版
TLS/SSL ベスト
プラクティスガイド
2022 年版
オンライン購入において
DigiCert Smart Seal が
果たす役割
情シス、危機管理、
マーケティング部門に
有用な VMC
グローバルかつローカルのニーズを支える QTSP（Qualified Trust Services Provider）
PSD2 準拠について知っておきたいこと
大量のコードサイニング、
鍵、ポリシー管理で
信頼を保つ
グローバルで文書の
署名と規制を管理する
戻る
ウェビナー
ID、デバイス、証明書の無秩序な拡散を抑制
資料
DigiCertが、現実の問題を解決するために、デジタルトラストの確立、管理、拡大をどのように支援しているかをご覧ください。
世界のIT・情報セキュリティリーダーたちが、デジタル技術の信頼性を欠いたセキュリティはセキュリティではないと考えている理由とは？
戻る
信頼の上に築かれたパートナーシップ
世界中にデジタルトラストをもたらす
強力なパートナーシップ
- エンタープライズ
- 中小企業
- 公共団体
- 技術パートナシップ
- 業界団体
戻る
CONTACT OUR SUPPORT TEAM
Americas
1.877.438.8776 (Toll Free US and Canada)
1.520.477.3102
1.801.701.9601 (Spanish)
1.800.579.2848 (Enterprise only)
1.801.769.0749 (Enterprise only)
Europe, Middle East Africa
+44.203.788.7741
Asia Pacific, Japan
+61.3.9674.5500
このブログではウェブサイトやその上で動作しているウェブアプリケーションの脆弱性について紹介すると共に注意喚起をする目的でまとめられています。
今回は代表的なWebアプリケーション脆弱性であるクロスサイトリクエストフォージェリについて解説をしています。
概要
Webは、サイトからサイトに遷移することが通常の動作であるため、悪意のあるサイトからの遷移に対して、利用者の意図に反する要求をアプリケーションが受け付けてしまう場合があります。その結果、利用者が知らないうちに掲示板等への投稿、物品購入、パスワードやメールアドレスの変更等重大な結果を招く場合があります。これがクロスサイトリクエストフォージェリ(CSRF、以下CSRF)です。
多くのWebアプリケーションでは認証状態をクッキーに保持しますが、外部サイトから遷移したリクエストであっても、認証クッキーは送信されてしまいます。このため、利用者のログイン状態にて意図しないリクエストを送信させられてしまうことが特に問題です。 誤認逮捕で話題になったパソコン遠隔操作事件においても、掲示板上の罠を閲覧してしまった東京都在住の男性のパソコンから、横浜市のホームページに犯行予告を送信させる目的でCSRFが悪用され、東京都在住の男性が逮捕されるという事態に至りました。攻撃のイメージと影響
架空の市の「市民の声」という意見募集サイト（ドメイン名はexample.jp）を題材して、CSRFを説明します。このサイトでは、以下の入力フォームが設置されています（要点のみ）。<form action="/post.cgi" method="post"> 氏名 <input name="name"> 投稿内容 <textarea name="body"></textarea> <input type="submit"> </form>
これに対して、攻撃者は以下のような罠を用意して、被害者がこの罠を閲覧するようにメールや掲示板の投稿などで誘導します。<body onload="document.forms[0].submit()"> <form action="http://example.jp/post.cgi" method="post"> <input type="hidden" name="name" value="殺銃蔵"> <input type="hidden" name="body" value="○月○日に○○小学校を襲撃する"> </form> </body>
被害者が上記のページを閲覧すると、1行目に置かれたJavaScriptにより犯行予告の内容が自動的に「市民の声」に投稿されます。投稿元のIPアドレスは被害者のパソコンのものであるので、被害者からの投稿と疑われることになります。脆弱性による影響
この脆弱性による影響の例として下記がありますが、これらに限りません。CSRF脆弱性の影響は、脆弱性のあるページの提供する機能の悪用に限られます。- 被害者へのなりすましによる掲示板等への投稿
- パスワードの変更（この場合はパスワードの悪用により被害が拡大する）
- 被害者アカウントでの物品購入
- 被害者の属性（メールアドレス、住所等）の変更
脆弱性の有無の確認方法
CSRFの検出は自動ツールでは難しいとされており、手動での検査が有効となります。この場合、独立行政法人情報処理推進機構(IPA)が公開している「安全なウェブサイトの作り方」別冊の「ウェブ健康診断仕様」に診断の方法が説明されており、参考になります。
対策
CSRF脆弱性は、リクエストの遷移元の確認をしていないことが原因です。標準的なCSRF対策としては、リクエスト中にトークンと呼ばれる乱数を送信するタグを挿入しておき、リクエストを受け付けた際にトークンの正当性を確認する方法があります。
なお、デジサートの「クラウド型WAF」では、CSRF脆弱性に対してウェブサイトが攻撃を受けるのを防ぐことができる有償オプションを用意しています。参考文献
安全なウェブサイトの作り方、ウェブ健康診断仕様(独立行政法人情報処理推進機構) https://www.ipa.go.jp/security/vuln/websecurity.html修正の上再掲しました。
特集記事
-
法人向けTLS/SSLサーバ証明書、PKI、IoT、署名ソリューションを提供するグローバルリーディングカンパニーです。
-
-
© 2024 DigiCert, Inc. All rights reserved.
リーガルリポジトリ Webtrust 監査 利用条件 プライバシーポリシー アクセシビリティ Cookie 設定 プライバシーリクエストフォーム