CSRFkaitse

CSRFkaitse (CSRF protection) tähistab turvameetmeid, mille eesmärk on takistada voimalikke rünnakuid, kus pahatahtlik veebisait sunni kasutaja brauseri tegema ettevotteid teisel, usaldusel põhineval veebisaidil. Selline rünnak tekib siis, kui kasutaja on sisse logitud ja külastab kahjutut veebilehte, mis kutsub esile soovitud toimingu ametlikul saidil ilma kasutaja nõusolekuta.

Tüüpilised CSRF-kaitsemeetmed põhinevad usaldusväärsuse kontrollil, mis kinnitab, et taotlus pärineb sihtasutusest endast. Levinud meetodid on antikeppingun tokenid (synchronizer token pattern), kus iga vorm või API-taotlus sisaldab varjatud tokenit, mida server kontrollib; tokenid on juhuslikult genereeritud ja seonduvad kasutaja sessiooniga. Teine lähenemine on sama saidi (SameSite) küpsiste omadus, mis piirab küpsiste saatmist kolmandate osapoolte veebisaitidelt. Kolmandaks kasutatakse sageli topeltsaatmise küpsiseid või kontrollitakse päiseid (nt Referer või Origin), et veenduda taotluse päritolus.

CSRF-kaitse nõuab tähelepanu ka arendustasemel: vormid ja API-taotlused, mis teevad staatilisi muudatusi (nt tehingud, profiili muudatused), peaksid olema kaitstud. Samas on oluline mõista, et SameSite-kaitse ei päri kõigile API-dele ja tööstuslikul tasemel tuleb CSRF-kaitse kombineerida piisavate autentimis- ja autoriseerimismeetmetega. Paljud veebiraamistikud pakuvad sisseehitatud CSRF-kaitset, mida soovitatakse kasutada ja vajadusel konfigureerida vastavalt rakenduse vajadustele.