Ochrana před CSRF útoky

Jako ochrana před CSRF útoky se používá autorizační token – tedy náhodně vygenerovaný řetězec čísel, platící jen pro aktuálního uživatele, pokaždé jiný (pro každý formulář, který nabízí k vyplnění). Skript, starající se o administrační část aplikace, si před zobrazením formuláře vygeneruje tento autorizační token, který si jednak zapamatuje (uloží do session) a současně do onoho formuláře vloží (jako skryté vstupní pole). Při zpracování odeslaných dat pak tuto proměnnou porovnává s předtím uloženou hodnotou. V případě shody požadavek zpracuje, v případě neshody lze předpokládat, že se jedná o pokus o Cross-Site Request Forgery - CSRF, tedy požadavek nezpracuje. Autorizační token je dostatečně velký náhodný řetězec velkých a mylých znaků + čísel. Zatímco administrátor jej má v každém nabídnutém formuláři aplikace automaticky předvyplněný, útočník (nezávisle na počtu zaslaných podvrhnutých požadavků) nemá jak autorizační token uhodnout.

« zpět na obsah dokumentace