Mikä on CSRF ja miten sen estät?

Question

Accepted Answer

**CSRF (Cross-Site Request Forgery)** pettää kirjautuneen käyttäjän selaimen tekemään **ei-toivottuja pyyntöjä** sivustolle, jossa he ovat todentautuneet — suorittaen toimintoja (siirrot, muutokset) ilman heidän suostumustaan, hyödyntäen selaimen automaattista tunnistetietojen/evästeiden lähettämistä. ## Kuinka CSRF toimii ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## Ehkäisy ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## Miksi se on tärkeää CSRF:n ymmärtäminen ja sen ehkäiseminen on arvokasta, koska se on **yleinen web-haavoittuvuus**, joka hyödyntää selaimen toimintaa, ja sallii hyökkääjille toimintojen suorittamisen todentautuneina käyttäjinä, joten se on tärkeä tietoturvaosaaminen web-kehittäjille. Ymmärtäminen **kuinka CSRF toimii** — hyödyntäen sitä, että selaimen **lähettävät automaattisesti evästeet** (mukaan lukien istunnon evästeet) pyyntöjen kanssa, joten pahantahtoinen sivu voi laukaista pyynnön sivustolle, jossa käyttäjä on kirjautunut, ja selain sisältää istunnon evästeen, jolloin sivusto käsittelee väärennettyä pyyntöä laillisena ja suorittaa toiminnon (siirrot, tilin muutokset) ilman käyttäjän suostumusta — on välttämätöntä ymmärtää tämä hienovarainen mutta vaarallinen hyökkäys. CSRF on vaarallinen, koska se voi suorittaa arkaluonteisia toimintoja uhrin puolesta ilman heidän tietämystään, ja se on yleinen web-haavoittuvuus. Ymmärtäminen **ehkäisystä** on olennaista: **CSRF-tunnukset** (ainutlaatuinen, ennustamaton tunnus per istunto/lomake, jonka palvelin tarkistaa — hyökkääjän sivusto ei voi tietää sitä, joten väärennetyt pyynnöt epäonnistuvat; perinteinen pääpuolustus), **SameSite-evästeet** (SameSite=Lax/Strict asettaminen, jotta evästeitä ei lähetetä cross-site-pyynnöissä, nykyään vahva selaintason puolustus, joka on yhä enemmän oletus), Origin/Referer-otsikkojen tarkistaminen, uudelleen todentamisen vaatiminen arkaluonteisille toiminnoille ja GET:n käyttämättä jättäminen tilanmuutoksille. Ymmärtäminen, että **kehykset tarjoavat usein sisäänrakennettua CSRF-suojausta** (joka tulisi ottaa käyttöön ja käyttää) on käytännöllisesti tärkeää. CSRF-tunnusten ja SameSite-evästeiden yhdistelmä tarjoaa vankkaa suojausta. Koska CSRF on yleinen web-haavoittuvuus, joka hyödyntää selaimen käyttäytymistä ei-toivottujen toimintojen suorittamiseen todentautuneina käyttäjinä, ja koska sen toimintaperiaatteen ymmärtäminen ja sen ehkäiseminen (CSRF-tunnukset, SameSite-evästeet, kehyssuojaukset) on tärkeää web-kehittäjille, CSRF:n ja sen ehkäisyn ymmärtäminen on arvokas, käytännöllisesti relevantti tietoturvaosaaminen — tärkeä web-haavoittuvuus ymmärtää ja puolustautua sitä vastaan, jossa puolustukset (CSRF-tunnukset ja SameSite-evästeet) ovat keskeistä tietoa käyttäjien suojelemiseksi siitä, että heidät petetään haluamattomiin toimintoihin, merkittävä hyökkäysluokka kaikille web-sovelluksille, joissa on todentautuneita tilanmuutoksellisia toimintoja.