CSRFhyökkäyksille

CSRFhyökkäys, eli Cross-Site Request Forgery, on verkkoturvallisuusuudessa yleinen hyökkäysmenetelmä. Sen tavoitteena on saada käyttäjä suorittamaan tahattomasti tiettyjä toimintoja verkkosovelluksessa, johon hän on jo kirjautunut sisään. Hyökkääjä ei suoraan varasta käyttäjän tunnuksia, vaan hyödyntää hänen aktiivista istuntoaan.

CSRF-hyökkäys toimii siten, että hyökkääjä luo haitallisen verkkosivun tai sähköpostin, joka sisältää piilotetun pyynnön kohdesovellukseen. Kun tunnistautunut käyttäjä vierailee tällä sivulla tai avaa sähköpostin, hänen selaimeensa liitetty istuntotunniste lähetetään automaattisesti pyynnön mukana. Sovellus tulkitsee pyynnön lailliseksi, koska se tulee tunnistautuneelta käyttäjältä.

Näin hyökkääjä voi esimerkiksi saada käyttäjän tekemään tilisi salasanan vaihdon, siirtämään varoja tai poistamaan tärkeitä tietoja ilman käyttäjän suostumusta tai tietämystä. Yleisiä suojautumiskeinoja ovat muun muassa CSRF-tokenien käyttö, jossa jokaiselle pyynnölle generoidaan uniikki ja kertakäyttöinen tunniste, jota sovellus tarkistaa ennen pyynnön hyväksymistä. Lisäksi SameSite-evästeasetukset voivat auttaa ehkäisemään näitä hyökkäyksiä.