Što je CSRF i kako ga spriječiti?

Question

Accepted Answer

**CSRF (Cross-Site Request Forgery)** navodi autentificirani korisnikov preglednik da pravi **neželjene zahtjeve** na stranicu gdje je korisnik autentificiran — izvršavajući radnje (transfere, promjene) bez njihove suglasnosti, iskorištavajući automatsko slanje kredencijala/kolačića od strane preglednika. ## Kako CSRF funkcionira ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## Prevencija ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## Zašto je važno Razumijevanje CSRF-a i kako ga spriječiti je vrijedno jer je to **česta web ranjivost** koja iskorištava kako preglednici funkcioniraju, omogućavajući napadačima da izvršavaju radnje kao autentificirani korisnici, pa je to važno znanje o sigurnosti za web razvijatelje. Razumijevanje **kako CSRF funkcionira** — iskorištavajući da preglednici **automatski šalju kolačiće** (uključujući kolačiće sesije) s zahtjevima, pa zlonamjerna stranica može pokrenuti zahtjev na stranicu gdje je korisnik prijavljen, a preglednik uključuje kolačić sesije, čineći da stranica tretira lažirani zahtjev kao legalan i izvršava radnju (transfere, promjene računa) bez suglasnosti korisnika — nužno je za razumijevanje ovog suptilnog ali opasnog napada. CSRF je opasan jer može izvršiti osjetljive radnje kao žrtva bez njene znanja, a to je česta web ranjivost. Razumijevanje **prevencije** je bitno: **CSRF tokeni** (jedinstveni, nepredvidivi token po sesiji/obrascu koji server provjerava — napadačeva stranica ga ne može znati, pa lažirani zahtjevi nisu uspješni; primarna tradicionalna obrana), **SameSite kolačići** (postavljanje SameSite=Lax/Strict kako se kolačići ne bi slali na zahtjeve između stranica, sada jaka obrana na razini preglednika što je sve više zadana), provjera Origin/Referer zaglavlja, zahtijevanje ponovno autentificiranja za osjetljive radnje, i ne korištenje GET-a za operacije koje mijenjaju stanje. Razumijevanje da **okvirci često pružaju ugrađenu CSRF zaštitu** (koja bi trebala biti omogućena i korištena) je praktički važno. Kombinacija CSRF tokena i SameSite kolačića pruža čvrstu zaštitu. Budući da je CSRF česta web ranjivost koja iskorištava ponašanje preglednika za izvršavanje neželjenih radnji kao autentificirani korisnici, i budući da razumijevanje kako funkcionira i kako ga spriječiti (CSRF tokeni, SameSite kolačići, zaštite okvira) je važno za web razvijatelje, razumijevanje CSRF-a i njegove prevencije je vrijedna, praktično relevantna sigurnosna znanja — važna web ranjivost za razumijevanje i obranu, gdje su obrane (CSRF tokeni i SameSite kolačići) ključno znanje za zaštitu korisnika od bičenja u neželjene radnje, značajna klasa napada za bilo koju web aplikaciju s autentificiranim operacijama koje mijenjaju stanje.