1

Cross-site request forgery - O CSRF (do inglês Cross-site request forgery- Falsificação de solicitação entre sites) é um tipo de exploração maliciosa de um website pelo qual comandos não autorizados são transmitidos de um usuário que confia no website. Ao contrário do cross-site scripting (XSS), que explora a confiança de um usuário para um site particular, o CSRF explora a confiança que um site tem do navegador do usuário.

Referência

Acabei de fazer a pergunta falando a respeito de utilização de token em um input hidden de um formulário para evitar o CSRF - Cross-Site Request Forgery; e me surgiu uma dúvida.

Mesmo usando tokens em formulários de login e afins, ainda assim, é possível forjar uma requisição?

Existem outros meios, além do csrf token, de se proteger contra esse tipo de ataque?

1 Resposta 1

1

Utilizar tokens somente faz a prevenção, não há uma garantia real de proteção.

Esse ataque pode ser prevenido de vários modos. Usando Synchronizer Token Pattern é uma maneira que a aplicação pode contar com a política de mesma origem para evitar CSRF, mantendo uma chave secreta para autenticar pedidos.

Ao adotar o Synchronizer Token Pattern você assegura que cada pedido requer, em adição ao cookie de sessão um token gerado aleatoriamente como um parâmetro HTTP.

A cada pedido que for submetido a aplicação deverá procurar o valor esperado para o parâmetro e compará-lo com o valor real do pedido, se os valores não coincidirem, o pedido deve ser abortado e se possível redefinir o token e registrar esse evento como um potencial ataque.

Isso pode ser feito com segurança desde a política de mesma origem garanta que o site mal-intencionado não leia a resposta. A maioria dos navegadores atuais implementa essa política, portanto podemos acreditar que essa solução seja adequada para esse tipo de ataque.

Aqui mostra algumas soluções que não devem ser adotadas e mostra alternativas que podem ser usadas sem o Synchronizer Token Pattern.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .