Как правильно использовать CSRF токены?

2 sl_bug
Да, спасибо.

To further enhance the security of this proposed design, consider randomizing the CSRF token […] for each request. Implementing this approach results in the generation of per-request tokens as opposed to per-session tokens. Note, however, that this may result in usability concerns.

То-есть никак. Или многоразовый токен, или неудобство пользователя.

Как правильно использовать CSRF токены?

Атака повторного воспроизведения
ru.wikipedia.org/wiki/%D0%90%D1%82%D0%B0%D0%BA%D0%B0_%D0%BF%D0%BE%D0%B2%D1%82%D0%BE%D1%80%D0%BD%D0%BE%D0%B3%D0%BE_%D0%B2%D0%BE%D1%81%D0%BF%D1%80%D0%BE%D0%B8%D0%B7%D0%B2%D0%B5%D0%B4%D0%B5%D0%BD%D0%B8%D1%8F

Как правильно использовать CSRF токены?

Одноразовый токен конечно тоже не дает 100% но он уменьшает вероятность успешной атаки/ уменьшает спектр применимости. Если есть например какая-то дырка, позволяющая видеть весь входящий трафик на сайт, то все токены там будут уже не валидные. Если грубо, то одноразовые токены устаревают часто гораздо быстрее чем сессия. Но вашу мысль я тоже понял. Если по другому не получится нормально — наврно так и сделаем.

А какие-нибудь идеи, кроме использования многоразовых токенов есть?

Как правильно использовать CSRF токены?

Например если у вас есть сессия, вы можете запросить форму через GET. И там, в теле HTML будет и токен. Или нет?

Конечно зависит от архитектуры и логики приложения, может у SAP этот токен всегда проверяется, или используются какие-то другие средства.
Но у меня уже готовое приложение, которое давно и активно используется клиентами, и переписывать его заново задачи не стояло.

Как правильно использовать CSRF токены?

Ссылка на Ruby on Rails говорит только о том, что безопасность в Ruby on Rails «из коробки» меня бы не удовлетворила ;) Приложения бывают разные.

Как правильно использовать CSRF токены?

А как вы узнали SessionID? Перехватили трафик? Ну так и токен там так же можно будет найти.

Я и не говорю что это одно и тоже. Я имел ввиду, что статичный токен лишь немногим безопаснее чем просто SessionID, и не помогает при перехваченном трафике например.

Как правильно использовать CSRF токены?

У вас один токен на всю сессию. Этого не достаточно для полноценной защиты. Можно тогда вообще токены не использовать, а брать SessionID — разницы никакой.

Как правильно использовать CSRF токены?

Смысла для поиска конечно нет. Но приложение большое и форм много, поэтому я сделал проверку в BasicController, а там отличить POST поиска от других действий не такая тривиальная задача. Кроме того, даже для «не поиска» редирект по F5 на 404 мне не кажется удачной идеей. Странно что это во всех гайдах по CSRF рекомендуют.

> просто не сохраняем данные
Ну в принципе я почти так и сделал. В BasicController очищаю данные из POST, и показывается пустая форма. Но это как-то не очень красиво. Думал, может есть какое-нибудь _правильное_ решение.