Doppio invio domande sull'implementazione dei cookie

2

Ho letto la domanda Double Submit Cookies e mentre risponde un sacco di domande sono ancora un po 'confuso.

Ho dato un'occhiata a questo repo: link

Il riepilogo di questa implementazione è che nella richiesta autenticata inviano un token CSRF in cookie1 e un token JWT (che include il token CSRF) in cookie2.

Il client preleva il token csrf da cookie1 e lo memorizza localmente (assunto) e effettua una richiesta con un'intestazione del token x-csrf con il token csrf.

Il server decodifica quindi il token JWT ed estrae il token csrf dalla risposta originale e lo confronta con l'intestazione del token x-csrf.

La mia domanda è che se un utente malintenzionato ottiene l'accesso ai cookie, non può estrarre il token csrf dal cookie1 e inviare la richiesta con un'intestazione del token x-csrf in una richiesta di modulo insieme a cookie2.

    
posta chapmatic 12.10.2017 - 19:47
fonte

1 risposta

2

Le protezioni CSRF sono lì per proteggerti dagli aggressori facendo in modo che il browser faccia automaticamente le cose per tuo conto. In questo caso, il client deve includere manualmente l'intestazione della richiesta (presumibilmente tramite JavaScript). Una normale richiesta del browser tramite il modulo POST o il GET collegato non includerà mai questa intestazione, quindi un attacco CSRF non può avere luogo.

Questo è tutto questo protegge contro. Sei fregato se l'aggressore ha un modo per rubare i cookie perché possono semplicemente impersonare l'utente e fare ciò che vogliono. In altre parole, devi anche trovare un modo per proteggere i cookie dal furto.

    
risposta data 12.10.2017 - 20:44
fonte

Leggi altre domande sui tag