Siteler arası istek sahteciliği (CSRF)

Siteler arası istek sahteciliği, kısaca CSRF veya XSRF, başka bir web sitesinin tarayıcıyı hedef uygulamaya istenmeyen istek göndermeye yönlendirdiği saldırıdır. Tarayıcı bu sırada geçerli oturum bilgilerini otomatik ekliyorsa ve uygun koruma yoksa uygulama isteği oturum açmış kişinin talimatı olarak değerlendirebilir.

Proje portalındaki bir değişiklik

Kurgusal bir proje portalı, bildirim adresinin notificationEmail alanında değiştirilmesine izin verir. Bir kişi burada oturum açmışken başka bir sayfayı da ziyaret eder. Bu sayfa değişikliği tetiklemeye çalışır. Oturum çerezinin gönderilip gönderilmemesi, diğer etkenlerin yanında tarayıcının çerez kurallarına bağlıdır.

Geçerli bir oturum çerezini kontrol etmek, isteğin hangi oturumla ilişkilendirildiğini gösterir. Kişinin bu adres değişikliğini istediğini kanıtlamaz. Yalnız POST kullanmak da saldırıyı önlemez.

Durum değiştiren istekleri korumak

Bir form için framework, tahmin edilemeyen ve oturuma bağlı bir CSRF belirteci sağlayabilir. Sunucu, değişiklikten önce bu ek bilgiyi doğrular. Koruma işlevi ilgili isteklerde gerçekten kullanılmalıdır.

MDN, tarayıcının istek bağlamı bilgileri olan Fetch metaverilerine dayalı denetimleri ve istek türüne uygun başka yöntemleri de açıklar. SameSite çerez özniteliği ek bir koruma katmanıdır. Aynı site ile aynı köken (protokol, ana makine adı ve bağlantı noktası) aynı anlama gelmez; farklı alt alan adları aynı siteye ait olabilir. Geçerli bir CSRF belirteci, oturum açmış kişinin adresi değiştirmeye yetkili olup olmadığının kontrolünün yerini tutmaz.

Kaynaklar

• MDN — Cross-site request forgery (CSRF)

• MDN — Origin