CSRFsuojaukset

CSRFsuojaukset ovat verkkosovellusten turvatoimia, joiden tarkoitus on estää Cross-Site Request Forgery -hyökkäykset. Tällaiset hyökkäykset voivat saada käyttäjän selaimen lähettämään valtuutetun pyynnön toisen sivuston puolesta, kun käyttäjä on kirjautuneena ja istuntoetäisyys on voimassa.

Perusmekanismi on, että selaimen evästeet lähetetään automaattisesti pyyntöjen mukana. Jos sovellus käyttää istuntoa evästeen kautta, se ei välttämättä pysty erottamaan, onko pyyntö käyttäjän aktiivinen toiminto vai kolmannen osapuolen luoma huijaus.

Suojausmenetelmät jakautuvat tunnisteisiin ja verifiointiin. CSRF-tunnisteet eli satunnaisesti generoitu tunniste upotetaan lomakkeisiin tai pyynnön headeriin, ja palvelin varmentaa tokenin oikeellisuuden. SameSite-keksin attribuutti (esim. SameSite=Lax tai Strict) rajoittaa evästeiden lähettämistä kolmansilta osapuolilta. Double submit cookie -menetelmä käyttää sekä evästeenä että pyynnön sisällössä olevaa samaa tunnistetta. Lisäksi Referer- tai Origin-otsikoiden tarkistus voi estää epäilyttävät pyynnöt. Monissa nykyaikaisissa kehyksissä CSRF-suojaus on valmiiksi toteutettu.

Käytännön huomioita: REST- ja SPA-rajapinnat, jotka käyttävät Bearer-tunnuksia ja CORS:ia, voivat vähentää CSRF-suojauksen tarvetta, mutta istuntoevästeitä käyttävissä RATKAISUissa CSRF-suojaus on suositeltavaa. Oikein toteutettuna CSRF-suojaukset parantavat turvallisuutta, ilman että käytettävyys huomattavasti kärsii. Rajoitteita ovat muun muassa XSS-hyökkäysten mahdollisuus ja tokenin varastamisen aiheuttamat riskit.