X'inhu CSRF u kif tipprevenixxuh?

Question

Accepted Answer

**CSRF (Cross-Site Request Forgery)** ittieqgħed utent li jkun logged-in il-browser tiegħu biex jagħmel **talbiet mhux mixtieqa** lil sit fejn huma awtentikati — iwettqu azzjonijiet (trasferimenti, bidliet) mingħajr il-kunsens tagħhom, jesploraw it-tixmija awtomatika tal-browser tal-kredenzjali/cookies. ## Kif CSRF jaħdem ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## Prevenzjoni ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## Għaliex hija importanti L-għarfien ta' CSRF u kif tipprevenixxuh huwa valuwuż għax hija **vulnerabilità komuni fuq il-web** li tesplora kif jaħdmu l-browsers, u tippermetti lill-attakkaturi jwettqu azzjonijiet bħala utenti awtentikati, għalhekk hija għarfien ta' sigurtà importanti għal developers tal-web. L-għarfien **kif CSRF jaħdem** — jesploraw li l-browsers **jibagħtu awtomatikament cookies** (inklużi session cookies) ma' talbiet, għalhekk paġna malizzjuża tista' tipproduċi talba lil sit fejn l-utent huwa logged in, u l-browser jinkludi l-session cookie, u jagħmel il-sit jittratta t-talba forged bħala leġittima u jwettaq l-azzjoni (trasferimenti, bidliet tal-account) mingħajr il-kunsens tal-utent — huwa neċessarju biex tifhem dan l-attakk sottili iżda perikolużu. CSRF huwa perikolużu għax jista' jwettaq azzjonijiet sensittivi bħala l-vittima mingħajr it-tagħrif tagħha, u huwa vulnerabilità komuni fuq il-web. L-għarfien ta' **prevenzjoni** huwa essenzjali: **CSRF tokens** (token uniku u impredikabbli per session/form li s-server iverifikar — is-sit tal-attakkaturi ma jistax jaf dwarru, għalhekk ir-riċhjedti forged ifalli; id-difiża tradizzjonali primarja), **SameSite cookies** (tissetting SameSite=Lax/Strict biex il-cookies ma jibagħtux fuq ir-riċhjedti cross-site, issa difiża qawwija fuq il-livell tal-browser li għandha għas-default dejjem aktar), iċċekkjar ta' Origin/Referer headers, jeħtieġ ri-awtentikazzjoni għal azzjonijiet sensittivi, u ma tuża GET għal operazzjonijiet li jibdlu l-istati. L-għarfien li **frameworks spiss jipprovdu protezzjoni CSRF integrata** (li għandu jkun attivat u użat) huwa importanti pratikament. L-kombinazzjoni ta' CSRF tokens u SameSite cookies tipprovdi protezzjoni robusta. Għaliex CSRF huwa vulnerabilità komuni fuq il-web li jesplora l-imġieba tal-browsers biex jwettaq azzjonijiet mhux mixtieqa bħala utenti awtentikati, u għaliex l-għarfien kif jaħdem u kif tipprevenixxuh (CSRF tokens, SameSite cookies, protezzjonijiet tal-framework) huwa importanti għad-developers tal-web, l-għarfien ta' CSRF u l-prevenzjoni tiegħu huwa għarfien ta' sigurtà valuwuż u pratikament rilevanti — klassi ta' attakk importanti biex tifhem u tiddefendi kontra, fejn id-difiżi (CSRF tokens u SameSite cookies) huma għarfien kruċjali biex tipproteġi lill-utenti minn li jkunu mkejla fi azzjonijiet mhux mixtieqa, klassi notevoli ta' attakk għal kwalunkwe applikazzjoni web li għandha operazzjonijiet li jibdlu l-istati awtentikati.