CSRFhyökkäyksiltä

CSRFhyökkäys, eli Cross-Site Request Forgery, on tietoturvahyökkäys, jossa haitallinen verkkosivusto, sähköposti, blogi tai ohjelma saa käyttäjän verkkoselaimen suorittamaan ei-toivottuja toimintoja verkkosovelluksessa, jossa käyttäjä on parhaillaan todennettuna. Hyökkäyksen kohteena oleva sovellus luulee, että pyyntö on peräisin käyttäjältä itseltään, vaikka todellisuudessa sen on käynnistänyt hyökkääjä.

Yleisimmin CSRF-hyökkäys hyödyntää sitä, että selain lähettää evästeet (cookies) automaattisesti jokaisen pyynnön mukana kohdesivustolle. Jos käyttäjä on kirjautuneena esimerkiksi verkkopankkiin ja vierailee samanaikaisesti haitallisella sivustolla, hyökkääjä voi upottaa kyseiselle sivulle koodia, joka lähettää pyynnön verkkopankkiin. Tämä pyyntö voi olla esimerkiksi rahansiirto tai salasanan vaihto. Koska käyttäjän selain lähettää automaattisesti verkkopankin evästeet pyynnön mukana, verkkopankki tunnistaa pyynnön luotettavaksi ja suorittaa sen.

CSRF-hyökkäyksiä vastaan suojautumiseen käytetään useita menetelmiä. Yksi yleisimmistä on CSRF-tokenien käyttö. Token on yksilöllinen, salainen ja satunnaisesti generoitu arvo, joka liitetään jokaiseen lomakepyyntöön. Palvelin tarkistaa pyynnön yhteydessä, että saapunut token vastaa sitä, jonka se on aiemmin lähettänyt käyttäjän selaimelle. Jos token puuttuu tai on virheellinen, pyyntö hylätään. Muita suojautumiskeinoja ovat esimerkiksi SameSite-evästeiden käyttö ja Same-Origin Policy -periaatteen tiukempi valvonta.