CSRFhyökkäyksiä

CSRF-hyökkäykset (Cross-Site Request Forgery) ovat verkkohyökkäyksiä, joissa hyökkääjä saa uhrin selaimen suorittamaan kohdepalvelimelle toimenpiteen uhrin puolesta, ilman että uhria on erikseen pyydetty toimimaan. Tällaiset toimenpiteet voivat muuttaa tilin asetuksia, siirtää rahaa tai muuten muuttaa palvelun tilaa. Hyökkäys on mahdollinen, kun kohdepalvelu luottaa uhrin selaimessa olevaan istuntoon ja suorittaa pyyntöjä ilman erillistä vahvistusta.

Toimintaperiaate perustuu siihen, että käyttäjä on kirjautuneena kohdepalveluun ja hänen selaimensa sisällyttää automaattisesti oikeudet antavat evästeet mukaan lähetettäviin pyyntöihin. Hyökkääjä voi huijata uhrin käynnistämään tahattoman pyynnön esimerkiksi haitalliselta sivustolta, sähköpostista tai sosiaalisen median linkistä. CSRF-yritys hyökkää tilanmuutoksiin, ei niinkään tietojen lukemiseen, ja sille ei yleensä tarvita pääsyä kohdepalvelun vastauksiin.

Vaaran minimoimiseksi on useita keinoja. CSRF-tunnisteet (CSRF-token) varmistavat, että jokainen toiminto on tunnistettu ja hyväksytty palvelimella. SameSite-evästeominaisuudet rajoittavat kolmannen osapuolen pyynnöistä tulevia evästeiden lähettämisiä. Toisia keinoja ovat referer- tai Origin-headerien tarkistus, kaksinkertaiset lähetykset (double-submit), sekä vaatimukset käyttäjän erilliselle vahvistukselle erityisesti kriittisissä toimenpiteissä. Monivuotiset kehykset ja kirjastoautomaatiot tarjoavat usein suojan CSRF-hyökkäyksiä vastaan, kun niitä käytetään oikein. Sekä token-pohjainen todentaminen että tilinvaiheen toimintojen rajaaminen auttavat ehkäisemään näitä hyökkäyksiä.

---