Cross-Site Request Forgery (CSRF)
Cross-Site Request Forgery (CSRF) on tietoturvaongelma, joka voi kohdistua web-sovelluksiin. Siinä hyökkääjä saa uhrin suorittamaan ei-toivotun toiminnon sovelluksessa ilman tämän suostumusta tai tietämystä. Tämä tapahtuu yleensä silloin, kun uhri on kirjautunut sovellukseen ja sitten hän klikkaa haitallista linkkiä tai sivustoa, joka laukaisee sovelluksen toiminnon hyökkääjän puolesta.
CSRF-hyökkäysten torjumiseksi on olemassa erilaisia strategioita:
- CSRF Token: Sovellus voi generoida CSRF-tunnuksen (CSRF token) jokaiselle käyttäjäistunnolle. Tämä tunnus lisätään kaikkiin lomakkeisiin ja HTTP-pyynnöihin. Palvelin tarkistaa, vastaako pyynnön mukana oleva token tallennettua tokenia, ja hylkää pyynnön, jos ne eivät vastaa toisiaan.
- SameSite Cookies: Aseta evästeille ”SameSite” -attribuutti. Tämä voi estää sivuston ulkopuolisia pyyntöjä käyttämällä evästeitä.
- HTTP Referrer Policy: Rajoita pyyntöjen lähdeosoitetta HTTP Referrer -otsakkeen avulla. Tämä voi auttaa estämään sivuston ulkopuoliset pyynnöt.
- Double Submit Cookies: Tämä tekniikka liittyy CSRF-tunnukseen. Käyttäjä saa evästeen ja CSRF-tunnuksen, ja kun pyyntö tehdään, sekä eväste että token tarkistetaan.
- CSRF-suodattimet: Jotkut selaimet tarjoavat sisäänrakennettuja suojausmekanismeja CSRF-hyökkäyksiä vastaan. Nämä voivat estää tiettyjä pyyntöjä tai tarkastaa lähteen.
- HTTP-verbien rajoittaminen: Rajoita HTTP-pyyntöjen tiettyjä verbejä (kuten POST tai PUT), jolloin hyökkääjien on vaikeampi tehdä haitallisia pyyntöjä.
- Käyttäjäagentin vaihtaminen: Käytä HTTP-otsakkeita, kuten User-Agent, estämään pyynnöt eri käyttäjäagentilta tulevilta pyynnöiltä.
CSRF-suojaus (Wikipedia linkki) vaatii monitahoista lähestymistapaa ja useiden tekniikoiden yhdistämistä varmistaakseen, että sovellus on turvallinen tältä tyyppisiltä hyökkäyksiltä. On tärkeää ymmärtää CSRF-hyökkäysten toimintaperiaate ja käyttää asianmukaisia suojauskeinoja sovelluksesi suojaksi.
