Τι είναι CSRF και πώς το προλαμβάνετε;

Question

Accepted Answer

**CSRF (Cross-Site Request Forgery)** εξαπατά το πρόγραμμα περιήγησης ενός συνδεδεμένου χρήστη για να πραγματοποιήσει **ανεπιθύμητα αιτήματα** σε μια τοποθεσία όπου είναι αυθεντικοποιημένος — εκτελώντας ενέργειες (μεταφορές, αλλαγές) χωρίς τη συγκατάθεσή του, εκμεταλλευόμενος την αυτόματη αποστολή διαπιστευτηρίων/cookies από το πρόγραμμα περιήγησης. ## Πώς λειτουργεί το CSRF ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## Πρόληψη ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## Γιατί έχει σημασία Η κατανόηση του CSRF και του τρόπου πρόληψής του είναι πολύτιμη γιατί είναι μια **κοινή ευπάθεια ιστού** που εκμεταλλεύεται τον τρόπο λειτουργίας των προγραμμάτων περιήγησης, επιτρέποντας στους επιτιθέμενους να πραγματοποιούν ενέργειες ως αυθεντικοποιημένοι χρήστες, οπότε είναι σημαντική γνώση ασφαλείας για τους προγραμματιστές ιστού. Η κατανόηση **του τρόπου λειτουργίας του CSRF** — εκμεταλλεύοντας ότι τα προγράμματα περιήγησης **αποστέλλουν αυτόματα cookies** (συμπεριλαμβανομένων των cookies περιόδου συνδέσεως) με αιτήματα, έτσι ώστε μια κακόβουλη σελίδα να μπορεί να ενεργοποιήσει ένα αίτημα σε μια τοποθεσία όπου ο χρήστης είναι συνδεδεμένος, και το πρόγραμμα περιήγησης συμπεριλαμβάνει το cookie της περιόδου συνδέσεως, κάνοντας τη σελίδα να θεωρεί το πλαστό αίτημα ως νόμιμο και να εκτελεί την ενέργεια (μεταφορές, αλλαγές λογαριασμού) χωρίς τη συγκατάθεση του χρήστη — είναι απαραίτητο για την κατανόηση αυτής της λεπτής αλλά επικίνδυνης επίθεσης. Το CSRF είναι επικίνδυνο γιατί μπορεί να εκτελέσει ευαίσθητες ενέργειες ως θύμα χωρίς γνώση του, και είναι μια κοινή ευπάθεια ιστού. Η κατανόηση της **πρόληψης** είναι απαραίτητη: **CSRF tokens** (ένα μοναδικό, απρόβλεπτο token ανά περίοδο συνδέσεως/φόρμα που το διακομιστή επαληθεύει — η τοποθεσία του επιτιθέμενου δεν μπορεί να το γνωρίζει, έτσι τα πλαστά αιτήματα αποτυγχάνουν· η κύρια παραδοσιακή άμυνα), **SameSite cookies** (ορίζοντας SameSite=Lax/Strict ώστε τα cookies να μην αποστέλλονται σε cross-site αιτήματα, τώρα μια ισχυρή άμυνα σε επίπεδο προγράμματος περιήγησης που είναι ολοένα περισσότερο προεπιλεγμένη), έλεγχος headers Origin/Referer, απαίτηση επανα-αυθεντικοποίησης για ευαίσθητες ενέργειες, και όχι χρήση GET για ενέργειες που αλλάζουν κατάσταση. Η κατανόηση ότι **τα frameworks συχνά παρέχουν ενσωματωμένη προστασία CSRF** (η οποία θα πρέπει να ενεργοποιηθεί και να χρησιμοποιηθεί) είναι πρακτικά σημαντική. Ο συνδυασμός CSRF tokens και SameSite cookies παρέχει ισχυρή προστασία. Επειδή το CSRF είναι μια κοινή ευπάθεια ιστού που εκμεταλλεύεται την συμπεριφορά του προγράμματος περιήγησης για να εκτελέσει ανεπιθύμητες ενέργειες ως αυθεντικοποιημένοι χρήστες, και επειδή η κατανόηση του τρόπου λειτουργίας του και του τρόπου πρόληψής του (CSRF tokens, SameSite cookies, προστασίες framework) είναι σημαντική για τους προγραμματιστές ιστού, η κατανόηση του CSRF και της πρόληψής του είναι πολύτιμη, πρακτικά σχετική γνώση ασφαλείας — μια σημαντική κατηγορία επίθεσης ιστού για κατανόηση και άμυνα, όπου οι άμυνες (CSRF tokens και SameSite cookies) είναι κύρια γνώση για την προστασία των χρηστών από το να τρελαθούν σε ανεπιθύμητες ενέργειες, μια αξιόλογη κατηγορία επίθεσης για οποιαδήποτε εφαρμογή ιστού με αυθεντικοποιημένες ενέργειες που αλλάζουν κατάσταση.