Czy protokół HTTPS chroni przed atakami CSRF?

Question

Piszę głównie aplikację ajaxową i szukam sposobu ochrony użytkownika przed atakami CSRF. Planuję uruchomić strony aplikacji, w której zalogowany jest użytkownik, aby wykonywać pracę w trybie HTTPS.

Czy uruchomienie strony w protokole HTTPS ma na celu ochronę przed atakami CSRF?

Answer 1

Nie, uruchomienie strony w HTTPS nie chroni jej przed CSRF. Fakt, że komunikacja między przeglądarką a serwerem jest szyfrowana, nie ma wpływu na CSRF.

Proponuję przeczytać wskazówki OWASP na temat preventing CSRF.

Answer 2

Ogólny, złota zasada woule być:

Nigdy nie ufaj, że przychodzące żądanie klienta jest zasadny. Bądź zawsze podejrzliwy i zakładaj, że żądanie może zostać złośliwie sfałszowane.

kilku konkretnych zasad poza wspomnianym artykule OWASP:

1. jeśli dane wymaga uwierzytelniania/autoryzacji, unikać rodzajowe interfejsów na serwerze, jak interfejsu CRUD. łatwe do kodowania, trudne do autoryzacji konkretnych wniosków od klientów. zamiast tego zaoferuj interfejs w stylu SOA z jawnymi metodami dedykowanymi do konkretnych przypadków użycia, w których będziesz mieć bezpośrednią kontrolę nad żądaniami i ich parametrami.

   http://msdn.microsoft.com/en-us/library/ms954638.aspx

2. nawet jeśli ramy zapewnia pewną kontrolę nad ważności żądania (ASP.NET viewstate), ponownie sprawdzić, czy użytkownik jest uprawniony do przekazania zestawu parametrów przychodzących.

Answer 3

Najlepszym możliwym rozwiązaniem jest dołączenie tajnych tokenów - w celu zidentyfikowania użytkownika - w formularzach przesłanych na serwer. Więcej informacji można znaleźć w poniższych odsyłaczach.

http://en.wikipedia.org/wiki/Cross-site_request_forgery

https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)

http://www.codinghorror.com/blog/2008/10/preventing-csrf-and-xsrf-attacks.html

http://seclab.stanford.edu/websec/csrf/