CSRF-Schutz

Problem

Sie sind bei Ihrer Bank angemeldet. Eine bösartige Website veranlasst Ihren Browser, Folgendes zu übermitteln: POST bank.com/transfer Ihr Browser kann automatisch Bank-Cookies anhängen.

Lösung — CSRF Verteidigung

Die Anwendung verlangt einen Nachweis, den eine fremde Website für diese Aktion nicht zuverlässig liefern kann, etwa ein Anti-CSRF-Token. Geeignete Cookie-Regeln ergänzen den Schutz.

Kerngedanke: Der CSRF-Schutz verhindert, dass eine andere Website die authentifizierte Browsersitzung eines Benutzers missbraucht, um unbeabsichtigte Aktionen auszuführen.