Token CSRF: come implementare correttamente?

Question

Ho appena installato una semplice protezione CSRF nella mia applicazione. Crea una briciola unica che viene convalidata rispetto al valore di una sessione al momento dell'invio di un modulo.

Purtroppo questo significa ora che non riesco a tenere aperte più istanze (schede nel browser) della mia applicazione contemporaneamente mentre i frammenti di CSRF si scontrano l'uno con l'altro.

Devo creare un singolo token per ogni modulo effettivo o utilizzare una briciola condivisa e condivisa per tutte le mie forme? Quali sono i buonsenso qui?

Answer 1

Si può fare entrambi. Dipende dal livello di sicurezza che vuoi.

L'API OWASP Enterprise Security (ESAPI) utilizza il metodo di sessione per singolo token per utente. Questo è probabilmente un metodo piuttosto efficace presumendo che non vi siano fori XSS e che si abbiano timeout di sessione ragionevolmente brevi. Se consenti alle sessioni di rimanere in vita per giorni o settimane, allora questo non è un buon approccio.

Personalmente, non trovo difficile utilizzare un diverso token per ogni istanza di ogni modulo. Memorizzo una struttura nella sessione dell'utente con coppie chiave-valore. La chiave per ogni articolo è l'ID del modulo, il valore è un'altra struttura che contiene il token e una data di scadenza per quel token. Solitamente permetto a un token di vivere per 10-20 minuti, quindi scade. Per i moduli più lunghi posso dargli un lungo periodo di scadenza.

Se si desidera essere in grado di supportare lo stesso modulo in più schede del browser nella stessa sessione, il mio metodo diventa un po 'complicato, ma potrebbe comunque essere facilmente realizzato con ID di modulo univoci.

Answer 2

Prima di tutto: non sono un esperto di sicurezza, quindi probabilmente non dovresti fidarti di quello che dico.

Penso che generare un token diverso per ogni modulo sia più sicuro. Considerare una vulnerabilità XSS su una pagina che consente all'autore dell'attacco di ottenere il token CSRF per tale modulo. Se tutti i moduli utilizzano lo stesso token, l'utente malintenzionato ora ha i token CSRF per tutte le forme. Se tutte le forme hanno diversi token, l'attacco potrebbe essere di dimensioni molto inferiori.

Answer 3

Come so di CSRF, è possibile utilizzare

1) il numero a caso e salvarlo in sessione:
aggiungerlo a ingresso nascosto chiamato nascosto, poi quando si recive informazioni è possibile controllare campo nascosto con il valore di sessione

2) variabile di configurazione statico (come precedente, ma nessuna sessione)
il campo nascosto conterrà questo valore (variabile da config). Quando si convalida, si verificherà il nascosto distaccato e il valore della chiave di sicurezza di configurazione

3) referer
È possibile utilizzare referer sapere dove l'utente venire da quindi controllare con il vero dominio (questo metodo può attacca se il tuo sito web contiene xss).

Come So che è possibile utilizzare qualsiasi soluzione :)

Answer 4

Il OWASP Cheat Sheet ha le risposte più definitive per questo genere di cose. Discute i diversi approcci e il bilanciamento tra sicurezza e usabilità.

In breve, si consiglia di disporre di un singolo token per sessione (browser). In altre parole nel tuo caso lo stesso token è condiviso tra le schede. Il cheat sheet sottolinea anche che è molto importante non esporre il tuo sito a vulnerabilità cross-site scripting, poiché questo sovverte la strategia del token CSRF per sessione.