CSRF ni nini na unajigangania gani kuepuka?

Question

Accepted Answer

**CSRF (Cross-Site Request Forgery)** huweza kumdanganya mtumizi aliyeingia akaunti kuwa browser yake inatuma **ombi zisizotakikana** kwa tovuti ambapo ana uthibitisho — inafanya vitendo (malipiano, mabadiliko) bila idhini yake, inakamata njia ya browser kutuma kitambulisho/biscuits kiotomatiki. ## Jinsi CSRF inavyofanya kazi ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## Kuweka ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## Kwa nini inakusudiwa Kufahamu CSRF na jinsi ya kuuzuia kuna thamani kwa sababu ni **nezekazifu ya mtandao inayojulikana** ambayo inakamata jinsi vifaa vinavyofanya kazi, ikiruhusu wanataka kupiga deve kufanya vitendo kama watumiaji wenye uthibitisho, kwa hiyo ni maarifa muhimu ya usalama kwa watengeneza wavuti. Kufahamu **jinsi CSRF inavyofanya kazi** — inakamata kwamba vifaa **kiotomatiki hutuma biscuits** (kumjumuisha biscuit ya kikao) na ombi, kwa hiyo ukurasa wenye nia mbaya unaweza kutafsiri ombi kwa tovuti ambapo mtumizi ameingika, na browser inajumuisha biscuit ya kikao, na kufanya tovuti kutibu ombi la kuzigeuzwa kama halali na kufanya kitendo (malipiano, mabadiliko ya akaunti) bila idhini ya mtumizi — ni muhimu kuelewa shambuzi hili linatamawaZA lakini hatari. CSRF ni hatari kwa sababu inaweza kufanya vitendo vya karibu kama kambini bila kujua, na ni nezekazifu ya mtandao inayojulikana. Kufahamu **kuweka** ni muhimu: **Biscuit za CSRF** (biscuit nzuri, isiyotamaanisha kwa kila kikao/fomu ambayo seva inatakamatua — tovuti ya mkamataji haiwezi kujua, kwa hiyo ombi la kuzigeuzwa linashindwa; kilinda kikuu cha kawaida), **Biscuit za SameSite** (kuweka SameSite=Lax/Strict ili biscuit zisitumwe kwenye ombi la mtandao-mtandao, sasa kilinda lenye nguvu kwa kiwango cha vifaa ambayo kiwa kinachofanya kazi), kuangalia kaili za Origin/Referer, kukubali kuthibitisha upya kwa vitendo vya haraka, na kutokuwa na GET kwa vitendo vinavyobadilisha hali. Kufahamu kwamba **mifumo mingi inatoa kilinda cha CSRF iliyojengwa** (ambayo inapaswa kuamilishwa na kutumiwa) ni muhimu kwa njia ya vitendo. Mchanganyiko wa biscuit za CSRF na biscuit za SameSite inatoa kilinda kizuri. Kwa sababu CSRF ni nezekazifu ya mtandao inayojulikana inayokamata tabia ya vifaa kutekeleza vitendo visivyotakikana kama watumiaji wenye uthibitisho, na kwa sababu kufahamu jinsi inavyofanya kazi na jinsi ya kuuzuia (biscuit za CSRF, biscuit za SameSite, kilinda cha mifumo) ni muhimu kwa watengeneza wavuti, kufahamu CSRF na kuweka kwake kuna thamani, maarifa ya usalama ya vitendo — nezekazifu muhimu ya mtandao ya kufahamu na kutetea, ambapo kilinda (biscuit za CSRF na biscuit za SameSite) kina maarifa makuu kwa ulinzi wa watumiaji kutokwa na kukamatwa na vitendo visivyotakikana, darasa la shambuzi linalojulikana kwa programu yoyote ya wavuti iliyo na vitendo vya kubadilisha hali yenye uthibitisho.