Kaj je CSRF in kako ga preprečite?

Question

Accepted Answer

**CSRF (Cross-Site Request Forgery)** je napad, ki prisili brskalnik prijavljenega uporabnika, da naredi **neželene zahteve** na spletni strani, kjer je avtenticiran — izvršava dejanja (prevodi, spremembe) brez njihovega soglasja, izkoriščajoč samodejno pošiljanje poverilnice/piškotkov brskalnika. ## Kako CSRF deluje ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## Preprečevanje ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## Zakaj je to pomembno Razumevanje CSRF in kako ga preprečiti je dragoceno, ker je to **poglavitna spletna ranljivost**, ki izkorišča način delovanja brskalnikov in omogoča napadačem, da izvršavajo dejanja kot avtentizirani uporabniki, zato je to pomembno znanje s področja varnosti za spletne razvijalce. Razumevanje **kako CSRF deluje** — izkoriščajoč dejstvo, da brskalniki **samodejno pošiljajo piškotke** (vključno s piškoiki seje) z zahtevami, zato lahko zlonamerna stran sproži zahtevo na spletno stran, kjer je uporabnik prijavljen, brskalnik pa vključi piškotek seje, kar pretvori ponarejen zahtevo v legitimno in izvršava dejanje (prevode, spremembe računa) brez vedenja uporabnika — je potrebno za razumevanje tega subtilnega, a nevvarnega napada. CSRF je nevaren, ker lahko izvršava občutljiva dejanja kot žrtev brez njene vednosti, in je poglavitna spletna ranljivost. Razumevanje **preprečevanja** je bistveno: **CSRF žetoni** (edinstveni, nepredvidljivi žeton za sejo/obrazec, ki ga strežnik preveri — napadačeva spletna stran ga ne more poznati, zato napačne zahteve ne uspejo; primarni tradicionalni obrambni mehanizem), **SameSite piškotki** (nastavljanje SameSite=Lax/Strict, da se piškotki ne pošljejo na zahtevah med mesti, zdaj mocna obrana na ravni brskalnika, ki je vedno bolj privzeta), preverjanje glav Origin/Referer, zahtevanje ponovne avtentifikacije za občutljiva dejanja in neuporaba GET za dejanja, ki spremenijo stanje. Razumevanje, da **ogrodja pogosto nudijo vgrajeno zaščito pred CSRF** (ki bi morala biti omogočena in uporabljena) je praktično pomembno. Kombinacija CSRF žetonov in SameSite piškotkov zagotavlja robustno zaščito. Ker je CSRF poglavitna spletna ranljivost, ki izkoriščaje obnašanje brskalnika za izvršavanje neželjenih dejanj kot avtentizirani uporabniki, in ker je razumevanje kako deluje in kako ga preprečiti (CSRF žetoni, SameSite piškotki, zaščita ogrodja) pomembno za spletne razvijalce, je razumevanje CSRF in njegove preprečitve dragoceno, praktično relevantno znanje s področja varnosti — pomembna spletna ranljivost za razumevanje in zaščito pred njo, kjer so obrambe (CSRF žetoni in SameSite piškotki) ključno znanje za zaščito uporabnikov pred trikanjem v neželena dejanja, vidna vrsta napada za katero koli spletno aplikacijo z avtentificiranimi, stanje-spreminjajoči operacijami.