Vad är CSRF och hur förhindrar du det?

Question

Accepted Answer

**CSRF (Cross-Site Request Forgery)** lurar en inloggad användares webbläsare att göra **oönskade förfrågningar** till en webbplats där de är autentiserade — och utför åtgärder (överföringar, ändringar) utan deras samtycke, genom att utnyttja att webbläsaren automatiskt skickar autentiseringsuppgifter/cookies. ## Hur CSRF fungerar ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## Förebyggande ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## Varför det är viktigt Att förstå CSRF och hur man förhindrar det är värdefullt eftersom det är en **vanlig webbsårbarhet** som utnyttjar hur webbläsare fungerar, vilket tillåter angripare att utföra åtgärder som autentiserade användare, så det är viktigt säkerhetskunnskap för webbutvecklare. Att förstå **hur CSRF fungerar** — genom att utnyttja att webbläsare **automatiskt skickar cookies** (inklusive sessionscookies) med förfrågningar, så en skadlig sida kan utlösa en förfrågan till en webbplats där användaren är inloggad, och webbläsaren inkluderar sessionscookien, vilket gör att webbplatsen behandlar den falska förfrågan som legitim och utför åtgärden (överföringar, kontoändringar) utan användarens samtycke — är nödvändigt för att förstå denna subtila men farlig attack. CSRF är farlig eftersom den kan utföra känsliga åtgärder för offret utan deras vetskap, och det är en vanlig webbsårbarhet. Att förstå **förebyggandet** är väsentligt: **CSRF-tokens** (en unik, oförutsägbar token per session/formulär som servern verifierar — angriparens webbplats kan inte känna till den, så falska förfrågningar misslyckas; det primära traditionella försvaret), **SameSite-cookies** (att ställa in SameSite=Lax/Strict så cookies inte skickas på cross-site-förfrågningar, nu ett starkt webbläsarnivåförsvar som blir allt mer standard), kontroll av Origin/Referer-huvuden, kräva omautentisering för känsliga åtgärder, och att inte använda GET för tillståndsändrande operationer. Att förstå att **ramverk ofta erbjuder inbyggt CSRF-skydd** (som bör aktiveras och användas) är praktiskt viktigt. Kombinationen av CSRF-tokens och SameSite-cookies ger robust skydd. Since CSRF är en vanlig webbsårbarhet som utnyttjar webbläsarbeteende för att utföra oönskade åtgärder som autentiserade användare, och eftersom att förstå hur den fungerar och hur man förhindrar den (CSRF-tokens, SameSite-cookies, ramverkskydd) är viktigt för webbutvecklare, är förståelse för CSRF och dess förebyggande värdefullt, praktiskt relevant säkerhetskunnskap — en viktig sårbarhetsklass att förstå och försvara sig mot, där försvarsmåtten (CSRF-tokens och SameSite-cookies) är nyckelkunskap för att skydda användare från att bli lurade till oönskade åtgärder, en anmärkningsvärd attackklass för alla webbapplikationer med autentiserad tillståndsändrande operationer.