La tecnica "Double Submit Cookie" di CSRF ha un valore seme diverso per il cookie rispetto al POST HTTP?

Alcuni punti di nota:

• Non utilizzare i cookie di doppia invio, come hai detto e, come afferma l'articolo, questo non è molto sicuro e ti apre agli altri attacchi.
• "a differently seeded value for the cookie and the HTTP POST embedded value" - Sì, questo approccio è molto preferito, ma questo è non un cookie a doppio invio - ti riferisci a ciò che è noto come Token di moduli.
• L'uso dei token modulo era più problematico, poiché era difficile riuscire a farlo correttamente ed evitare gli errori sottili che invalidano la soluzione. Al giorno d'oggi, ci sono ottimi pacchetti che fanno questo per te, come CSRFGuard di OWASP . Meccanismi simili sono anche incorporati in molti framework, tra cui ASP.NET.
• Come ho già detto, AntiForgeryToken di ASP.NET (in realtà, questo è ASP.NET MVC ...) si basa su token di moduli e non cookie di doppia invio. Che, come detto, non è sicuro.
• ASP.NET stesso include anche la protezione basata su ViewState, quando si utilizza l'attributo UserKey.
• Molti altri framework moderni hanno anche alcune protezioni integrate, tra cui Spring, RoR, ecc.
• Un'altra alternativa, che potrebbe o non potrebbe essere rilevante, è la re-autenticazione dell'utente, per azioni specifiche. Per esempio. prima di trasferire una grossa somma di denaro a una terza parte dal proprio conto bancario o autorizzando le connessioni su LinkedIn.
• Non utilizzare i cookie di doppia invio.

Penso che tu abbia ragione che fornirebbe una protezione più strong se il cookie e la forma avessero valori diversi. Lo svantaggio è che invece di controllare solo se il valore del cookie corrisponde al valore del modulo, ora devi tenere traccia di quale valore del cookie corrisponde a ogni valore del modulo. Inoltre, come afferma la documentazione OWASP, tutto ciò si basa sul browser che applica in modo appropriato la politica della stessa origine ( che può essere più complicato di quanto suoni ) così come una generazione di valori pseudo-casuali (imprevedibile) corretta.