Zapobieganie CSRF?

Question

już widać pewne pytanie stąd (stackoverflow) i THIS postu, ale mam jeszcze kilka pytań ...

1. Korzystanie z ukrytej wartości w postaci postu i sprawdzić, kiedy po dotrzeć do serwera.

   • Ukrytą wartość można łatwo skopiować i wysłać dokładnie tak, jak prawdziwa, "trudno zgadnąć" (jak md5) nie pomoże. (prawda?)

2. Ustawienie pliku cookie po dotarciu do formularza i wysłanie wartości cookie jako ukrytej wartości.

   • Możesz łatwo zmienić wartość cookie lub wysłać niestandardowy plik cookie dokładnie taki sam, jak prawdziwy, używając tej samej prawdziwej ukrytej wartości. (prawda?)

3. Przy użyciu "limitu czasu" wartości POST nie mogą osiągnąć zbyt późno.

   • Tak więc, jeśli jesteś wolny, nie powiedzie się, gdy spróbujesz ustawić wszystko z ukrytą wartością. Jeśli będziesz szybki, zadziała. (Prawda?)

Chcę być chronione o CSRF ... ale jak dokładnie to zrobić?

Answer 1

Najprostszym sposobem znalazłem się uniknąć problemów CSRF jest:

1. Po stronie serwera, należy przypisać cookie do klienta z losową (unguessable) token

2. Place ukrytym polem na postać z tą wartością ciasteczka

3. Upon formie przedstawienia, zapewnienia ukrytą wartość pola jest równa wartości ciasteczek (po stronie serwera rzeczy)

Answer 2

Jeśli się następujące zmiany to myślę, że jesteś bezpieczny

• bez aktualizacji danych powinno być dozwolone przez GET (lub lepszego POST również) (ponieważ oba mogą być używane za pomocą formularzy HTML)
• wyłącza CORS na swoim serwerze (lub przynajmniej na krytycznych punktach końcowych i/lub wprowadza zmiany w danych)
• zezwala na interfejsy API JSON-only (np. akceptuj tylko dane wejściowe za pośrednictwem JSON przynajmniej na krytycznych punktach końcowych)

Aby dodać do powyższego: Nie używaj metod zastępowania i nie obsługuj starych przeglądarek.