Apa itu CSRF dan bagaimana cara mencegahnya?

Question

Accepted Answer

**CSRF (Cross-Site Request Forgery)** adalah serangan yang mengelabui browser pengguna yang sudah login untuk membuat **permintaan yang tidak diinginkan** ke situs tempat mereka terautentikasi — melakukan tindakan (transfer, perubahan) tanpa persetujuan mereka, memanfaatkan pengiriman otomatis kredensial/cookie oleh browser. ## Cara kerja CSRF ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## Pencegahan ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## Mengapa ini penting Memahami CSRF dan cara mencegahnya sangat berharga karena ini adalah **kerentanan web yang umum** yang memanfaatkan cara kerja browser, memungkinkan penyerang melakukan tindakan sebagai pengguna terautentikasi, jadi ini adalah pengetahuan keamanan penting bagi pengembang web. Memahami **cara kerja CSRF** — memanfaatkan fakta bahwa browser **secara otomatis mengirim cookie** (termasuk cookie sesi) dengan permintaan, sehingga halaman berbahaya dapat memicu permintaan ke situs tempat pengguna login, dan browser menyertakan cookie sesi, membuat situs memperlakukan permintaan palsu sebagai sah dan melakukan tindakan (transfer, perubahan akun) tanpa persetujuan pengguna — diperlukan untuk memahami serangan yang halus namun berbahaya ini. CSRF berbahaya karena dapat melakukan tindakan sensitif atas nama korban tanpa sepengetahuan mereka, dan ini adalah kerentanan web yang umum. Memahami **pencegahan** sangat penting: **token CSRF** (token unik yang tidak dapat diprediksi per sesi/formulir yang diverifikasi server — situs penyerang tidak bisa mengetahuinya, jadi permintaan palsu gagal; pertahanan tradisional utama), **cookie SameSite** (mengatur SameSite=Lax/Strict sehingga cookie tidak dikirim pada permintaan lintas situs, sekarang merupakan pertahanan tingkat browser yang kuat dan semakin menjadi default), memeriksa header Origin/Referer, memerlukan otentikasi ulang untuk tindakan sensitif, dan tidak menggunakan GET untuk operasi yang mengubah state. Memahami bahwa **framework sering menyediakan perlindungan CSRF built-in** (yang harus diaktifkan dan digunakan) sangat penting secara praktis. Kombinasi token CSRF dan cookie SameSite memberikan perlindungan yang kokoh. Karena CSRF adalah kerentanan web yang umum memanfaatkan perilaku browser untuk melakukan tindakan yang tidak diinginkan sebagai pengguna terautentikasi, dan karena memahami cara kerjanya dan cara mencegahnya (token CSRF, cookie SameSite, perlindungan framework) penting bagi pengembang web, memahami CSRF dan pencegahannya adalah pengetahuan keamanan yang berharga dan relevan secara praktis — kelas serangan penting untuk dipahami dan dipertahankan, di mana pertahanannya (token CSRF dan cookie SameSite) adalah pengetahuan kunci untuk melindungi pengguna dari terperdaya untuk melakukan tindakan yang tidak diinginkan, kelas serangan yang menonjol untuk aplikasi web apa pun dengan operasi yang mengubah state terautentikasi.