CSRF ใน Networking คืออะไร
Cross-Site Request Forgery (CSRF) เกิดขึ้นเมื่อเว็บไซต์ร้าย บล็อก อีเมล ข้อความทันที หรือ web application ส่ง request ไปยัง trusted site ที่ผู้ใช้ได้ authenticate แล้ว เพื่อการกระทำที่ไม่พึงประสงค์
CSRF และตัวอย่าง
รูปแบบการโจมตีนี้ เรียกอีกอย่างว่า XSRF, Sea Surf, Session Riding หลอกผู้ใช้ทำ unwanted action ใน application อื่นที่ user login อยู่ CSRF attack สำเร็จ ทำให้ธุรกิจและ end user ได้รับผลกระทบรุนแรง
CSRF ใช้ทำอะไร
XSRF attacks ส่ง malicious requests จาก web application ไปยัง CSRF target ในกระบวนการ authentication เนื่องจาก forged requests ไม่มองเห็นโดย attacker CSRF attacks เน้น state changes มากกว่า data theft
CSRF ป้องกันอะไร
CSRF attack ถูกป้องกันเมื่อ token รวมอยู่ใน form เพราะ attacker ต้องเดา token เพื่อหลอก victim ส่ง request Cryptographic security เป็นพื้นฐานของ anti-CSRF mechanism
CSRF ใน Cyber Security
Cross-Site Request Forgery (CSRF) เป็น lateral movement attack บังคับ authenticated users ส่ง requests ไปยัง Web applications ที่ authenticated อยู่แล้ว เป้าหมาย attacker: บังคับ user ทำ state-changing request
CSRF เป็นช่องโหว่ประเภทไหน
Cross-site request forgery (CSRF) ทำให้ attacker บังคับ users ทำ actions ที่ไม่ได้ตั้งใจ
CSRF ใน Telecom
รูปแบบการโจมตี เรียกอีกอย่างว่า XSRF, Sea Surf, Session Riding หลอก user ทำ unwanted action ใน application อื่นที่ user login อยู่
CSRF ย่อมาจากอะไร
Cross-Site Request Forgery (CSRF)
สาเหตุของ CSRF
CSRF attacks เกิดเมื่อ attacker หลอก end user ที่โง่ ส่งข้อมูลที่ไม่ได้ตั้งใจ สร้าง data leak เปลี่ยน session state หรือ manipulate user account
CSRF ทำอะไร
CSRF (cross-site request forgery) คือการบังคับ end user ทำอย่างไม่ได้ตั้งใจบน web application ที่ login อยู่
CSRF จำเป็นหรือไม่
โดยทั่วไป attacker ทำให้ server headers ได้ง่าย การเปรียบเทียบ existing server headers ไม่ป้องกัน CSRF ต้องมี matching CSRF token เมื่อ action สามารถทำ state change ได้ ต้องส่ง CSRF token
HTTPS ป้องกัน CSRF ได้หรือไม่
ไม่ HTTPS ไม่ป้องกัน CSRF การเข้ารหัส communication ระหว่าง browser และ server ไม่มีนัยสำคัญต่อ CSRF
CSRF Tokens ป้องกันอย่างไร
ทำให้ attacker สร้าง HTTP request ที่ feed ให้ victim user ไม่ได้ CSRF tokens ป้องกัน websites จาก CSRF attacks
ข้อเสนอแนะเกี่ยวกับ CSRF
แนะนำ 2 ประเภท token-based CSRF defense: stateful หรือ stateless ใช้กับ highly sensitive operations ที่ต้องการ user interaction (extra authentication หรือ one-time token) Token-based mitigation ช่วยลดความเสี่ยง
Best Practice ป้องกัน CSRF
ใช้ CSRF protection built-in ของ framework Stateful software ใช้ synchronizer token patterns Stateless software ใช้ double-submit cookies
