Ce este CSRF și cum îl previi?

Question

Accepted Answer

**CSRF (Cross-Site Request Forgery)** înșeală browserul unui utilizator autentificat să facă **cereri nedorite** către un site unde utilizatorul este autentificat — realizând acțiuni (transferuri, modificări) fără consimțământul acestuia, exploatând trimiterea automată a credențialelor/cookie-urilor de către browser. ## Cum funcționează CSRF ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## Prevenție ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## De ce este important Înțelegerea CSRF și a modului în care îl previi este valoroasă deoarece este o **vulnerabilitate web comună** care exploatează modul în care funcționează browserele, permițând atacatorilor să realizeze acțiuni ca utilizatori autentificați, deci este o cunoaștere de securitate importantă pentru dezvoltatorii web. Înțelegerea **modului în care funcționează CSRF** — exploatând faptul că browserele **trimit automat cookie-urile** (inclusiv cookie-urile de sesiune) cu cereri, deci o pagină malițioasă poate declanșa o cerere către un site unde utilizatorul este autentificat, iar browserul include cookie-ul de sesiune, făcând ca situl să trateze cererea falsificată ca fiind legitimă și să realizeze acțiunea (transferuri, modificări de cont) fără consimțământul utilizatorului — este necesară pentru a înțelege acest atac subtil dar periculos. CSRF este periculos deoarece poate realiza acțiuni sensibile în numele victimei fără cunoștința acesteia, iar este o vulnerabilitate web comună. Înțelegerea **prevenirii** este esențială: **tokenuri CSRF** (un token unic, impredictibil per sesiune/formular pe care serverul îl verifică — situl atacatorului nu poate să-l cunoască, deci cererile falsificate eșuează; apărarea tradițională primară), **cookie-uri SameSite** (stabilirea SameSite=Lax/Strict pentru ca cookie-urile să nu fie trimise pe cererile din alte site-uri, acum o apărare puternică la nivel de browser care devine din ce în ce mai implicită), verificarea antetelor Origin/Referer, necesitatea re-autentificării pentru acțiuni sensibile, și neutilizarea GET pentru operații care schimbă starea. Înțelegerea că **framework-urile oferă adesea protecție CSRF încorporată** (care ar trebui să fie activată și utilizată) este practic importantă. Combinația de tokenuri CSRF și cookie-uri SameSite oferă protecție robustă. Deoarece CSRF este o vulnerabilitate web comună care exploatează comportamentul browserului pentru a realiza acțiuni nedorite ca utilizatori autentificați, și deoarece înțelegerea modului în care funcționează și a modului în care îl previi (tokenuri CSRF, cookie-uri SameSite, protecții din framework) este importantă pentru dezvoltatorii web, înțelegerea CSRF și a prevenirii acestuia este o cunoaștere de securitate valoroasă și practic relevantă — o clasă de atac importantă de înțeles și de apărat împotriva ei, unde apărările (tokenuri CSRF și cookie-uri SameSite) sunt o cunoaștere cheie pentru protejarea utilizatorilor de a fi păcăliți în acțiuni nedorite, o clasă notabilă de atac pentru orice aplicație web cu operații de schimbare a stării autentificate.